Datenschutzerklärung der MillionFriends-App

Version 9

Wir stellen Dir mit MillionFriends-App (im Folgenden die „App“) eine mobile App zur Verfügung, die Du auf Dein mobiles Endgerät herunterladen kannst und informieren Dich nachfolgend über die Erhebung und Verarbeitung personenbezogener Daten bei Nutzung dieser mobilen App.

1. Verantwortliche Stelle

Anbieter der App ist die Perfood GmbH, Am Spargelhof 2, 23554 Lübeck, [email protected]. Die Perfood GmbH ist auch die datenschutzrechtlich Verantwortliche gemäß Art. 4 Abs. 7 EU- Datenschutz-Grundverordnung (DS-GVO) für die Verarbeitung von personenbezogenen Daten der App-Nutzer.

Datenschutzbeauftragter:

Rechtsanwälte Klostermann Schmidt Monstadt Eisbrecher
Rechtsanwalt Mehmet Yildirim
Kortumstr. 100, 44787 Bochum
E-Mail: [email protected]

2. Zweck der Anwendung und verarbeitete Datenkategorien

MillionFriends ist eine Applikation zur Verbesserung der ganzheitlichen Gesundheit. Zielsetzung ist die Reduktion der postprandialen Blutzuckervariabilität durch personalisierte Ernährungsempfehlungen. Zudem können über MillionFriends weitere Lebensstilfaktoren, bspw. sportliche Aktivitäten, Medikation, Schlaf und Befinden, erfasst werden. Die erfassten Informationen werden für Nutzer*innen aufbereitet, um selbstständig Lebensstilanpassungen durchführen zu können, die der Verbesserung der ganzheitlichen Gesundheit dienen.

Die zu diesem Zweck im Rahmen der Nutzung der App verarbeiteten Datenkategorien umfassen personenbezogene Daten und Gesundheitsdaten. Diese werden zur Bereitstellung unseres Dienstes und Sicherstellen des ordnungsgemäßen Betriebes sowie zur Korrespondenz mit unseren Nutzer*innen verwendet.

3. Rechtsgrundlagen und Einwilligungserklärung / Widerrufsmöglichkeit

Die Benutzung der App basiert ausschließlich auf Freiwilligkeit. Es ist daher allein Deine Entscheidung, ob und wie Du die App nutzt.

Die Verarbeitung von personenbezogenen Gesundheitsdaten erfolgt ausschließlich auf der Grundlage Deiner Einwilligung gemäß Art. 6 Abs. 1 S. 1 lit. a), Art. 9 Abs. 2 lit. a) DS-GVO. Diese kannst Du jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Speicherung wird dadurch aber nicht berührt. Deinen Widerruf kannst Du jederzeit richten an [email protected]. Beachte, dass Du dann Teile der App-Funktionen nicht mehr nutzen kannst. Auf dieser Grundlage werden die im Rahmen des Programms entstandenen personenbezogenen Daten auch zum Zweck wissenschaftlicher Forschung und der Entwicklung und Verbesserung von digitalen Therapien verarbeitet.

Ist im Übrigen die Verarbeitung personenbezogener Daten zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich, so beruht die Verarbeitung auf Art. 6 Abs. 1 lit. b) DS-GVO. Gleiches gilt für solche Verarbeitungsvorgänge die zur Durchführung vorvertraglicher Maßnahmen erforderlich sind, etwa in Fällen von Anfragen zu unseren Produkten oder Leistungen. Unterliegt unser Unternehmen einer rechtlichen Verpflichtung, durch welche eine Verarbeitung von personenbezogenen Daten erforderlich wird, wie beispielsweise zur Erfüllung steuerlicher Pflichten, so basiert die Verarbeitung auf Art. 6 Abs. 1 lit. c DS-GVO. In seltenen Fällen könnte die Verarbeitung von personenbezogenen Daten erforderlich werden, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; dann würde die Verarbeitung auf Art. 6 Abs. 1 lit. d) DS-GVO beruhen. Letztlich könnten Verarbeitungsvorgänge auf Art. 6 Abs. 1 lit. f) DS-GVO beruhen. Auf dieser Rechtsgrundlage basieren Verarbeitungsvorgänge, die von keiner der vorgenannten Rechtsgrundlagen erfasst werden, wenn die Verarbeitung zur Wahrung eines berechtigten Interesses unseres Unternehmens oder eines Dritten erforderlich ist, sofern die Interessen, Grundrechte und Grundfreiheiten des Betroffenen nicht überwiegen.

4. Datenerhebung bei Herunterladen der App

Beim Herunterladen der App aus einem App Store, z.B. Google Play Store und Apple App Store, werden die dort erforderlichen Informationen durch den jeweiligen Anbieter übertragen. Dies sind Dein Nutzername, E-Mail-Adresse und Kennung Deines Accounts, Zeitpunkt des Downloads, Zahlungsinformationen und die individuelle Gerätekennziffer.

5. Erhebung personenbezogener Daten bei Nutzung der App

Bei Nutzung der App erheben wir die nachfolgend beschriebenen personenbezogenen Daten, um die komfortable Nutzung der Funktionen zu ermöglichen. Wenn Du unsere App nutzen möchtest, erheben wir die folgenden Daten, die für uns technisch erforderlich sind, um Dir die Funktionen unserer mobilen App anzubieten und die Stabilität und Sicherheit zu gewährleisten (Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f) DS-GVO):

  • Datum und Uhrzeit der Anfrage
  • IP-Adresse
  • Inhalt der Anforderung
  • Zugriffsstatus/HTTP-Statuscode
  • jeweils übertragene Datenmenge
  • Website, von der die Anforderung kommt
  • Verwendeter Browser
  • E-Mail-Adresse
  • Betriebssystem und dessen Oberfläche
  • Sprache und Version der Browsersoftware
  • Device UUID (Universally Unique Identifier, Gerätekennzeichnung)
  • Bei Nutzung der Spracherkennung: aufgenommene Sprache
  • Version der App
  • Absturzberichte (über den jeweiligen App Store, aus dem die App bezogen wurde)

Die Nutzung der App ist bestimmt für die ausschließliche Nutzung auf privaten IT-Systemen, da auf öffentlichen IT-Systemen und nicht privaten Systemen durch die Betreiber der Systeme eine Aufzeichnung des Datenverkehrs und von personenbezogenen Daten erfolgen kann.

6. Speicherung der in der App erhobenen Daten auf deutschen Servern

Wir verwenden Server des deutschen IT-Dienstleisters Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Serverstandort ist Deutschland und Finnland. Die Hetzner Online GmbH ist zertifiziert nach ISO 27001. Wir verwenden außerdem Server der Firma netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, der Firma Timme Hosting GmbH & Co. KG, Ovelgönner Weg 43, 21335 Lüneburg, sowie der Quality Location GmbH, Schäferstraße 19, 14109 Berlin. Zu den gespeicherten Daten zählen folgende personenbezogene Daten und Gesundheitsdaten:

  • Anthropometrische Daten (Größe, Gewicht etc.)
  • Ziele, die mit der App erreicht werden sollen
  • Alter
  • Geschlecht
  • Postleitzahl
  • E-Mail-Adresse
  • Medizinische Diagnosen (Anamnese)
  • Schlafdauer und Zeit
  • Mahlzeiten und Ernährungsgewohnheiten
  • Medikamente mit Informationen zu Einnahmezeitpunkt
  • Beschwerden mit Informationen zu Art, Zeitpunkt und Dauer

7. Einzelne App-Funktionen

7.1. Suche von Lebensmitteln in einer Datenbank

Um in der App einfach nach alltäglichen Lebensmitteln zu suchen und diese in das Tagebuch einzutragen, verwenden wir die FatSecret Food Database der Secret Industries Pty Ltd. Die Übertragung der Informationen (IP-Adresse bei Suchanfragen) erfolgt über einen sogenannten Proxyserver der Perfood GmbH, so dass keine personenbezogenen Daten an den Anbieter FatSecret übertragen werden.

7.2 Sicherheitsprüfungen im Rahmen der verschlüsselten Datenübertragung gemäß TLS 1.2

Um eine sichere, verschlüsselte Übertragung mittels TLS (Transport Layer Security) zu gewährleisten, verwenden wir Zertifikate der comodo Group Inc. und anderer Zertifizierungsstellen. Dabei ist es aus Sicherheitsgründen nötig, kryptographische Schlüssel zu übertragen.

7.3 Verwaltung von Benutzeranfragen per Kontaktformular (Kundendienst)

Wir verwenden zur Verarbeitung von Benutzeranfragen einen Service der Zammad GmbH, Marienstraße 18, 10117 Berlin. Die erhobenen Daten werden auf europäischen Servern gespeichert.

7.4 Buchung von Telefonaten mit dem Kundendienst

Wir verwenden zur Verwaltung von Terminanfragen für Kundendiensttelefonate das Produkt Timify der Firma TerminApp GmbH, Balanstrasse 73, Haus 24, 81541 München sowie Typeform S.L., Barcelona, Spanien. Die Daten werden auf europäischen Servern gespeichert.

7.5 Auswertung der Daten durch Universitäten

Die App kann auch zur Teilnahme an speziellen Studien verwendet werden. Im Rahmen dieser Studien erfolgt eine Auswertung der Daten durch Universitäten, beispielsweise der Universität zu Lübeck, Ratzeburger Allee 160, 23562 Lübeck. Sofern eine solche Verarbeitung erfolgt, ist dieser Sachverhalt im Rahmen der Teilnahme an der Studie ausdrücklich gekennzeichnet.

7.6 Import von Glukosemessdaten

Während der Nutzung einiger Produkte (MillionFriends Original, sinCephalea) in der App werden parallel zur Nutzung kontinuierliche Gewebeglukosedaten erfasst. Diese werden mittels Software des jeweiligen Herstellers, Abbott Laboratories oder Dexcom, Inc., eingelesen und an die Perfood GmbH übermittelt.

8. Zugriffsberechtigungen der App

Die App benötigt Zugriff auf verschiedene Funktionen und Schnittstellen Deines Endgeräts. Dazu ist es erforderlich, dass Du der App bestimmte Berechtigungen erteilst. Bitte beachte, dass Du im Falle der Ablehnung eines Zugriffs durch die App keine oder nur wenige Funktionen der App nutzen kannst.

8.1 Kamera

Wird genutzt, um Barcodes von Lebensmitteln einzuscannen und diese im Ernährungstagebuch einzutragen

8.2 Speicherzugriff

Wird genutzt, um temporär erzeugte Bilder/Dateien zu speichern und zu nutzen (PDF-Export, Excel-Export, QR-Codes)

8.3 Benachrichtigungen

Wird genutzt, um lokale Benachrichtigungen im dafür vorgesehenen Benachrichtigungsbereich des Smartphones anzuzeigen. So können wichtige Ereignisse angekündigt werden.

9. Integration von Video-Anleitungen

Wir verwenden das Videoportal Vimeo der Vimeo.com, Inc., um in unserer App Video-Anleitungen zu verschiedenen Phasen des MillionFriends Programm zur Verfügung zu stellen und damit den Ablauf zu vereinfachen. Die Übertragung der Informationen erfolgt über einen sogenannten Proxyserver der Perfood GmbH, so dass keine personenbezogenen Daten an den Anbieter Vimeo.com, Inc. übertragen werden.

10. Erfassung von Statistiken zur Verbesserung des Produkts

Sofern eine separate Zustimmung gegeben wurde, erfolgt während der Nutzung der App eine Erfassung von Fehlern, Seitenaufrufen, Interaktionen und anderen Prozessen und wird zur Produktverbesserung an die Perfood GmbH übertragen. Die erhobenen Daten werden zu keinem anderen Zweck verwendet und nicht an Dritte weitergegeben. Die Auswertung der Statistik erfolgt pseudonymisiert auf den Systemen der Perfood GmbH mit der freien Software Matomo (on-premise, ehemals Piwik). Matomo ist auf den eigenen Servern der Perfood GmbH installiert (siehe 6. Speicherung der in der App erhobenen Daten auf deutschen Servern) und dementsprechend auch Standort der darin verarbeiteten Daten.

10.1 Fehlerprotokollierung mit Sentry

Sentry.io ist ein Analysedienst, der die Stabilität von Mobilanwendungen überwacht. Programmfehler werden durch Sentry gemeldet und können analysiert werden. Die Software wird auf den Servern der Perfood GmbH gehostet und es erfolgt keine Datenübertragung an http://Sentry.io.
Es werden folgende Daten protokolliert:

  • IP-Adresse
  • App-Version
  • Daten zu Abstürzen, Fehlermeldungen

11. Kontaktaufnahme

Bei Deiner Kontaktaufnahme mit uns per E-Mail oder über ein Kontaktformular wird Deine E-Mail-Adresse und, falls von Dir angegeben, Dein Name und Deine Telefonnummer von uns gespeichert, um Deine Fragen zu beantworten. Die in diesem Zusammenhang anfallenden Daten löschen wir, nachdem die Speicherung nicht mehr erforderlich ist, oder – im Falle von gesetzlichen Aufbewahrungspflichten – schränken die Verarbeitung ein.

12. Datenweitergabe

Eine Übermittlung Deiner persönlichen Daten an Dritte zu anderen als den in dieser Datenschutzerklärung aufgeführten Empfängern findet nicht statt.

Wir geben Deine persönlichen Daten im Übrigen nur an Dritte weiter, wenn:

  • Du Deine nach Art. 6 Abs. 1 S. 1 lit. a) DS-GVO ausdrückliche Einwilligung dazu erteilt hast,
  • die Weitergabe nach Art. 6 Abs. 1 S. 1 lit. f) DS-GVO zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist und kein Grund zur Annahme besteht, dass Du ein überwiegendes schutzwürdiges Interesse an der Nichtweitergabe Deiner Daten hast,
  • für den Fall, dass für die Weitergabe nach Art. 6 Abs. 1 S. 1 lit. c) DS-GVO eine gesetzliche Verpflichtung besteht, sowie
  • dies gesetzlich zulässig und nach Art. 6 Abs. 1 S. 1 lit. b) DS-GVO für die Abwicklung von Vertragsverhältnissen mit Dir erforderlich ist.

13. Speicherfristen und Löschung der genutzten Daten

Deine personenbezogenen Daten werden gelöscht oder gesperrt gemäß den Fristen in der Einwilligungserklärung, frühestens, sobald der Zweck der Speicherung entfällt. Eine Speicherung kann darüber hinaus erfolgen, wenn dies durch den europäischen oder nationalen Gesetzgeber in unionsrechtlichen Verordnungen, Gesetzen oder sonstigen Vorschriften, denen der Verantwortliche unterliegt, vorgesehen wurde. Eine Sperrung oder Löschung der Daten erfolgt auch dann, wenn eine durch die genannten Normen vorgeschriebene Speicherfrist abläuft, es sei denn, dass eine Erforderlichkeit zur weiteren Speicherung der Daten für einen Vertragsabschluss oder eine Vertragserfüllung besteht.

Bei der aktiven Nutzung der App werden bestimmte Daten bis zur Deinstallation gespeichert. Zur besseren Übersicht stellen wir Dir eine Auflistung zur Verfügung:

  • Gerätebindung
  • Biometrie-Token
  • Zustimmung zu Datenschutzbestimmungen
  • Informationen zu Screens, die nicht mehr angezeigt werden sollen (z.B. App-Onboarding oder Hinweis zur Medikamentenübersicht)
  • Zeitpunkt der letzten App-Nutzung
  • Version der App
  • Spracheinstellungen
  • Verschlüsselte Sitzungsdaten für die Dauer der Sitzung

Mit der Löschung des Benutzerkontos entfällt der Zugang zu sämtlichen Daten, die über die App erfasst wurden.

Die Löschung der Daten kann über die Anwendung unter “Konto”, durch den Widerruf der Einwilligung in die Datenschutzerklärung, angefordert werden und wird unverzüglich automatisiert ausgeführt.

14. Betroffenenrechte

Du hast das Recht:

  • gemäß Art. 15 DS-GVO Auskunft über Deine von uns verarbeiteten personenbezogenen Daten zu verlangen. Insbesondere kannst Du Auskunft über die Verarbeitungszwecke, die Kategorie der personenbezogenen Daten, die Kategorien von Empfängern, gegenüber denen Deine Daten offengelegt wurden oder werden, die geplante Speicherdauer, das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung oder Widerspruch, das Bestehen eines Beschwerderechts, die Herkunft ihrer Daten, sofern diese nicht bei uns erhoben wurden, sowie über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und ggf. aussagekräftigen Informationen zu deren Einzelheiten verlangen;
  • gemäß Art. 16 DS-GVO unverzüglich die Berichtigung unrichtiger oder Vervollständigung Deiner bei uns gespeicherten personenbezogenen Daten zu verlangen;
  • gemäß Art. 17 DS-GVO die Löschung Deiner bei uns gespeicherten personenbezogenen Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist;
  • gemäß Art. 18 DS-GVO die Einschränkung der Verarbeitung Deiner personenbezogenen Daten zu verlangen, soweit die Richtigkeit der Daten von Dir bestritten wird, die Verarbeitung unrechtmäßig ist, Du aber deren Löschung ablehnst und wir die Daten nicht mehr benötigen, Du jedoch diese zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigst oder Du gemäß Art. 21 DS-GVO Widerspruch gegen die Verarbeitung eingelegt hast;
  • gemäß Art. 20 DS-GVO Deine personenbezogenen Daten, die Du uns bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesebaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen und
  • gemäß Art. 77 DS-GVO sich bei einer Aufsichtsbehörde zu beschweren. In der Regel kannst Du dich hierfür an die Aufsichtsbehörde Deines üblichen Aufenthaltsortes oder Arbeitsplatzes oder unseres Kanzleisitzes wenden.

15. Widerspruchsrecht

Sofern Deine personenbezogenen Daten auf Grundlage von berechtigten Interessen gemäß Art. 6 Abs. 1 S. 1 lit. f) DS-GVO verarbeitet werden, hast Du das Recht, gemäß Art. 21 DS-GVO Widerspruch gegen die Verarbeitung Deiner personenbezogenen Daten einzulegen, soweit dafür Gründe vorliegen, die sich aus Deiner besonderen Situation ergeben.

16. Datensicherheit

Wir bedienen uns geeigneter technischer und organisatorischer Sicherheitsmaßnahmen, um Deine Daten gegen zufällige oder vorsätzliche Manipulationen, teilweisen oder vollständigen Verlust, Zerstörung oder gegen den unbefugten Zugriff Dritter zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

17. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung (Version 9) ist aktuell gültig und hat den Stand 13.03.2023