Datenschutz – Oriveli

1. Verantwortlicher

Christian Hermann & Martina Hermann GbR, An Rainen 3, 72525 Münsingen, Deutschland; E-Mail: apps@bitbeans.de.

2. Welche Daten verarbeitet werden

Alle Tagebuchdaten bleiben auf dem Gerät. Einträge, Symptome, Messwerte, Medikamente, Mahlzeiten, Notizen, Episoden, Profil, Entwürfe, Erinnerungen und Einstellungen werden mit AES-256-GCM verschlüsselt lokal gespeichert. Der Schlüssel liegt im Schlüsselspeicher des Geräts (Android-Keystore beziehungsweise iOS-Schlüsselbund, gebunden an dieses Gerät) und verlässt das Gerät nicht. Es gibt kein Konto, keine Registrierung und keine Synchronisierung in eine Cloud. Die Android-Systemsicherung und die Geräteübertragung sind für Oriveli abgeschaltet; unter iOS sind die App-Dateien von der Gerätesicherung ausgenommen.

Zwei kleine Ablagen liegen außerhalb dieser Verschlüsselung und enthalten deshalb bewusst keine Gesundheitsangaben: der Speicher des Homescreen-Widgets, den die Startbildschirm-Oberfläche lesen können muss, mit dem Tag der letzten Tageserfassung und drei Beschriftungen, sowie die Warteschlange für Einnahme-Bestätigungen aus einer Mitteilung, die nur Erinnerungskennung, geplante Zeit und Tippzeitpunkt enthält. Weder Medikamentenname noch Symptom, Wert oder Notiz stehen dort.

Wenn du die Übernahme aus Health Connect (Android) oder Apple Health (iOS) einschaltest, liest Oriveli ausschließlich die Datenarten, die du einzeln freigibst: Schlafdauer, Ruhepuls, Schritte, Gewicht, Blutdruck und Sauerstoffsättigung. Die Freigabe wird je Datenart einzeln beim Betriebssystem angefragt und ist im Auslieferungszustand aus. Oriveli liest nur und schreibt nichts zurück; gelesen werden höchstens die letzten 30 Tage. Die Werte werden wie eigene Einträge verschlüsselt auf dem Gerät gespeichert; wir empfangen sie nicht. Du kannst die Übernahme in der App ausschalten und die Berechtigung in Health Connect beziehungsweise in den iOS-Einstellungen unter Health entziehen. Bereits übernommene Einträge bleiben, bis du sie im Verlauf löschst.

Wetter und Pollen sind ausgeschaltet, solange du sie nicht einschaltest. Den Ort wählst du selbst aus einer Liste, die im App-Paket liegt; diese Suche läuft vollständig auf dem Gerät und sendet nichts. Eine Standortberechtigung fragt Oriveli nicht ab. Ist die Funktion eingeschaltet, geht höchstens einmal am Tag der auf 0,1 Grad – etwa 10 Kilometer – gerundete Ort an MET Norway in Norwegen, zusammen mit einer Kennzeichnung der App aus Name, Version und Kontaktadresse, wie es die Nutzungsbedingungen dieses Dienstes verlangen. Die Pollendatei des Deutschen Wetterdienstes wird als Ganzes und ohne jede Ortsangabe geladen; die Pollenregion bestimmt das Gerät selbst, und Pollenwerte gibt es nur für Regionen in Deutschland. Wie bei jedem Abruf im Netz ist beiden Stellen technisch deine IP-Adresse bekannt. Gesundheitsangaben und Kennungen werden nicht übertragen. Schaltest du die Funktion aus, wird nichts mehr gesendet und der gespeicherte Ort vergessen.

Für Kauf, Wiederherstellung und das Kontingent der KI-Analysen erzeugt die App eine zufällige, anonyme Gastkennung und speichert sie im Schlüsselspeicher des Geräts. Sie enthält weder Namen noch E-Mail-Adresse und ist keine Werbe- oder Hersteller-Gerätekennung. Zusammen mit Store-Plattform, Produktkennung und dem Store-Kaufbeleg wird sie an unser AppCore-Backend übertragen, damit dort das Abo geprüft und die Berechtigung gespeichert werden kann.

Im Kauf- und Wiederherstellungsablauf sendet die App zusätzlich feste technische Ereignisse an dasselbe Backend: Ereignisname, Ablaufschritt, fester Fehlergrund, Plattform, App-Version und Produktkennung. Sie helfen uns, abgebrochene oder fehlgeschlagene Käufe zu erkennen. Gesundheitsangaben sind darin nicht enthalten.

Eine KI-Analyse überträgt nur dann Daten, wenn du zuvor eingewilligt hast, die Vorschau gesehen und den einzelnen Auftrag bestätigt hast. Die Vorschau zeigt jede Angabe im Wortlaut; stimmt das Paket nicht mit der bestätigten Vorschau überein, bricht die App ab. Übertragen wird eine Zusammenfassung: Zeitraum, ausgewählte Bereiche, Feldbezeichnungen, Anzahlen von Werten und Tagen, Herkunftsangaben wie „Health Connect“ und die verwendeten Einheiten. Beim Vergleich „Zusammenhänge“ kommen die Gruppenwerte einer einzelnen, von dir gestellten Frage hinzu: Anzahl der Tage je Gruppe, Mittelwert, Median, niedrigster und höchster Wert, der Unterschied und die Länge des Vergleichszeitraums. Der niedrigste und der höchste Wert sind echte Messwerte von dir, allerdings ohne Datum und ohne Zuordnung zu einem einzelnen Eintrag. Notiztexte, Fotos, einzelne datierte Einträge, Name, E-Mail-Adresse, Ort und Kaufdaten werden nicht gesendet; Feld- und Eintragskennungen werden vorher durch laufende Nummern ersetzt. Der Vergleich selbst wird auf dem Gerät berechnet, das Modell formuliert das Ergebnis nur aus.

Erinnerungen und Medikamenten-Erinnerungen plant ausschließlich das Betriebssystem auf dem Gerät. Dabei wird nichts an einen Server gesendet. Der Text nennt im Auslieferungszustand weder Erkrankung noch Medikament, weil er auf dem Sperrbildschirm sichtbar sein kann; Medikamentennamen erscheinen nur, wenn du das ausdrücklich einschaltest. Tippst du in der Mitteilung auf „Genommen“, entsteht daraus ein Eintrag im verschlüsselten Tagebuch. Das Homescreen-Widget zeigt nur, ob der heutige Tag schon erfasst ist, und keinen einzigen Gesundheitswert. Die Vorschlagskarten auf „Heute“ entstehen vollständig auf dem Gerät, indem feste Stichwortlisten mit deinen eigenen Notizen verglichen werden; dabei wird nichts gesendet.

Arztbericht als PDF, CSV- und Textexport sowie die Sicherung entstehen auf dem Gerät; ein Server ist daran nicht beteiligt. Du entscheidest über das Teilen-Menü, wohin die Datei geht. Die Sicherung ist mit deiner eigenen Passphrase verschlüsselt (PBKDF2-HMAC-SHA256 mit 600.000 Iterationen, AES-256-GCM); ohne die Passphrase kann sie niemand öffnen, auch wir nicht. Bericht und CSV-Export sind bewusst unverschlüsselt, damit eine Praxis sie lesen kann – behandle sie wie ein Gesundheitsdokument. Übernommene Werte aus Health Connect oder Apple Health sowie gespeicherte Wetter- und Pollenwerte sind gewöhnliche Einträge und deshalb enthalten, soweit sie im gewählten Zeitraum und Bereich liegen.

Die App enthält keine Werbung, keine Analyse- oder Tracking-SDKs, kein Werbe-Tracking und kein Nutzungsprofil. Wir erstellen keine Profile über dich, verkaufen keine personenbezogenen Daten und geben keine Gesundheitsangaben an Werbenetzwerke oder Datenbroker weiter.

3. Zwecke und Rechtsgrundlagen

Die Tagebuchfunktionen laufen auf dem Gerät; dabei verarbeiten wir keine Daten für dich. Das gilt auch für Werte aus Health Connect oder Apple Health: Sie werden allein von deinem Gerät gelesen und gespeichert. Kauf, Wiederherstellung und Abo-Berechtigung verarbeiten wir zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die anonyme Gastsitzung, die festen Kaufereignisse und die Kontingentzählung dienen der Sicherheit, dem Missbrauchsschutz und dem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Wetter und Pollen ruft die App nur ab, wenn du die Funktion einschaltest; Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch Ausschalten jederzeit widerrufen kannst. Die KI-Analyse verarbeitet Gesundheitsangaben und erfolgt ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO), die du vor der ersten Analyse erteilst und jederzeit für die Zukunft widerrufen kannst. Ohne diese Einwilligungen bleiben alle übrigen Funktionen nutzbar.

4. Empfänger und Dienstleister

Wir nutzen Cloudflare für unser AppCore-Backend in der EU. Dort laufen die anonyme Gastsitzung, die Prüfung des Store-Belegs, das Kontingent der KI-Analysen und die Weiterleitung einer bestätigten Analyse. Für die Formulierung der Analyse setzen wir xAI (Grok, api.x.ai) in den USA als Auftragsverarbeiter ein. Schaltest du Wetter und Pollen ein, ruft die App das Meteorologische Institut Norwegens (MET Norway, api.met.no) und den Deutschen Wetterdienst (opendata.dwd.de) ab; MET Norway erhält dabei den gerundeten Ort, der DWD keinerlei Ortsangabe, und beide keine Gesundheitsangaben. Apple und Google wickeln Kauf und Zahlung als eigenständige Anbieter ab. Health Connect und Apple Health sind Dienste deines Betriebssystems; die dort gelesenen Werte bleiben auf dem Gerät und erreichen uns nicht. Werbenetzwerke, Datenbroker und Analysedienste setzen wir nicht ein.

5. Drittlandübermittlung

Unser Backend läuft bei Cloudflare in der EU. MET Norway sitzt in Norwegen und der Deutsche Wetterdienst in Deutschland; beide liegen im Europäischen Wirtschaftsraum, eine Drittlandübermittlung findet dabei nicht statt. Nur die von dir bestätigte KI-Zusammenfassung wird zur Formulierung an xAI in den USA übermittelt. Diese Übermittlung stützen wir auf einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln sowie auf deine ausdrückliche Einwilligung. Ohne Einwilligung findet keine Übermittlung in ein Drittland statt.

6. Werbung und Tracking

Die App enthält keine Werbung, keine Analyse- oder Tracking-SDKs und kein Werbe-Tracking. Wir erstellen keine Werbeprofile, verkaufen keine personenbezogenen Daten und geben keine Gesundheitsangaben an Werbenetzwerke oder Datenbroker weiter.

7. Speicherdauer und Sicherheit

Lokale Daten bleiben auf dem Gerät, bis du sie in der App oder über die Systemfunktionen löschst. Zwischengespeicherte Wetterdaten älter als 48 Stunden verwirft die App selbst. Auf dem Server speichern wir die anonyme Gastsitzung und die Abo-Berechtigung, solange sie für Prüfung, Wiederherstellung, Missbrauchsschutz und gesetzliche Nachweise erforderlich sind. Das KI-Paket und die Antwort werden weder gespeichert noch protokolliert; gezählt werden nur Nutzung und Kosten ohne Inhalte. Alle Übertragungen sind transportverschlüsselt, lokale Tagebuchdaten mit AES-256-GCM.

8. Daten und Konto löschen

„Alle Daten löschen“ in den Einstellungen entfernt Einträge, Profil, Entwürfe, Erinnerungen, Einstellungen, die Sicherungs- und Exportdateien in der App sowie den Schlüssel auf dem Gerät; danach ist auch ein verbleibender Rest nicht mehr lesbar. Geplante Erinnerungen werden abgebrochen, die Warteschlange der Einnahme-Bestätigungen geleert und das Homescreen-Widget vergisst den Tag der letzten Erfassung. Ein Konto, das gelöscht werden müsste, gibt es nicht. Bereits geteilte Dateien bleiben dort, wo du sie gespeichert hast. Für Anfragen zur anonymen Gastsitzung oder zur Abo-Berechtigung schreib uns an apps@bitbeans.de; nenne dazu die Plattform und den ungefähren Kaufzeitpunkt, damit wir den Eintrag zuordnen können. Das Abo selbst verwaltest du bei Apple oder Google.

9. Deine Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Einwilligungen können mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde; für unseren Sitz ist insbesondere der LfDI Baden-Württemberg zuständig.

10. Health Connect und Apple Health

Oriveli verwendet Werte aus Health Connect und Apple Health ausschließlich für die Funktionen, die du selbst eingeschaltet hast: das Festhalten, Anzeigen und Auswerten deiner Werte in deinem eigenen Tagebuch auf diesem Gerät. Wir halten uns dabei an die Anforderungen an die eingeschränkte Nutzung (Limited Use) der Health-Connect-Berechtigungen von Google Play und an die Vorgaben von Apple für HealthKit.

Das heißt konkret: Wir übertragen diese Werte nicht an unsere Server und nicht an Dritte. Wir verwenden sie nicht für Werbung, Marketing oder Weiterverkauf und geben sie nicht an Datenbroker, Informationsdienste, Versicherungen oder Arbeitgeber weiter. Niemand bei uns liest sie; sie sind uns technisch nicht zugänglich. Oriveli liest nur und schreibt nichts nach Health Connect oder Apple Health zurück.

Werden übernommene Werte Teil einer KI-Analyse, geschieht das nur, wenn du diese Analyse einzeln bestätigst, und es werden ausschließlich die in Abschnitt 2 beschriebenen zusammengefassten Angaben übertragen. Die Freigabe kannst du jederzeit je Datenart zurücknehmen: in der App über den jeweiligen Schalter und im System über Health Connect beziehungsweise die iOS-Einstellungen unter Health.

11. Quellen und Lizenzen

Wetter: basierend auf Daten von MET Norway (CC BY 4.0), zu Tagesmitteln zusammengefasst. Pollenflug-Gefahrenindex und Pollenfluggebiete: Quelle: Deutscher Wetterdienst (CC BY 4.0). Ortsliste: GeoNames (CC BY 4.0).

Diese Angaben dienen deiner eigenen Beobachtung. Sie sind Vorhersage- und Indexwerte für eine Region, keine Messung an deinem Aufenthaltsort, und wir prüfen ihre Richtigkeit nicht.