Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

2. Datenschutzbeauftragter

Unser Datenschutzbeauftragter ist erreichbar unter:

Sebastian Eggert
E-Mail: rooftop-entertainment@mail.de

3. Erhebung und Verarbeitung personenbezogener Daten

Wir erheben und verarbeiten personenbezogene Daten nur im Rahmen der gesetzlichen Bestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).

4. Besondere Kategorien personenbezogener Daten (Gesundheitsdaten)

MindBalance AI verarbeitet Gesundheitsdaten ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Diese Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Die Verarbeitung von Gesundheitsdaten erfolgt ausschließlich zur Berechnung deines persönlichen Balance Scores und zur Bereitstellung personalisierter Empfehlungen. Eine Weitergabe an Dritte findet nicht statt.

5. Cookies und Tracking

Unsere Website verwendet Cookies. Dabei unterscheiden wir zwischen technisch notwendigen Cookies und optionalen Cookies:

• Technisch notwendige Cookies: Diese sind für den Betrieb der Website erforderlich und werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO gesetzt.
• Analyse-Cookies: Werden nur mit deiner ausdrücklichen Einwilligung gesetzt (Art. 6 Abs. 1 lit. a DSGVO). Du kannst deine Einwilligung jederzeit über unseren Cookie-Banner widerrufen.

6. Datenweitergabe an Dritte

Eine Weitergabe deiner personenbezogenen Daten an Dritte erfolgt nur, wenn dies zur Vertragserfüllung erforderlich ist, du ausdrücklich eingewilligt hast oder eine gesetzliche Verpflichtung besteht. Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten:

• Hosting-Provider (Hetzner Online GmbH, Server-Standort: Deutschland/EU)
• E-Mail-Dienstleister für Newsletter-Versand (nur bei Einwilligung)
• KI-Dienstleister (Anthropic, Inc., USA) für die Verarbeitung von KI-Coach-Gesprächen — Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Übermittelte Daten: Stimmungskontext und Chat-Nachrichten (max. 20 pro Sitzung). Die Datenübermittlung in die USA erfolgt auf Basis von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
• Zahlungsdienstleister (Stripe, Inc., USA) für die Abwicklung von Premium-Abonnements — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Übermittelte Daten: E-Mail-Adresse und Nutzer-ID. Zahlungsdaten (Kreditkarte etc.) werden ausschließlich von Stripe verarbeitet und nie auf unseren Servern gespeichert. Datenübermittlung in die USA auf Basis von EU-Standardvertragsklauseln
• Google LLC (USA) für die Integration von Google Fit Gesundheitsdaten — Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung bei Gesundheitsdaten). Übermittelte Daten: OAuth-Zugangstoken (verschlüsselt gespeichert), Abfrage von Schritt-, Schlaf- und Herzfrequenzdaten. Datenübermittlung in die USA auf Basis von EU-Standardvertragsklauseln
• Sprachsynthese-Dienstleister (OpenAI, Inc., USA) für die Erzeugung von geführten Meditationen — Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Übermittelte Daten: ausschließlich generierter Meditationstext (keine personenbezogenen Daten). Datenübermittlung in die USA auf Basis von EU-Standardvertragsklauseln

Mit allen Auftragsverarbeitern haben wir Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO geschlossen. Für sämtliche Datenübermittlungen in die USA gelten EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Anthropic und OpenAI sind zusätzlich unter dem EU-U.S. Data Privacy Framework zertifiziert.

7. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um deine Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen. Dazu gehören unter anderem:

• Verschlüsselte Datenübertragung (TLS/SSL) für alle Verbindungen
• Feldbasierte Verschlüsselung sensibler Daten in der Datenbank (Fernet/AES-128-CBC) — betrifft: Chat-Nachrichten, Tagebucheinträge, Stimmungsnotizen, Sprachtranskripte, OAuth-Token
• Sichere httpOnly-Cookies für Authentifizierung (kein JavaScript-Zugriff auf Tokens)
• Regelmäßige Sicherheitsaudits und Penetrationstests
• Zugriffskontrollen und Berechtigungsmanagement
• Pseudonymisierung und Anonymisierung wo möglich
• Automatische Löschfristen: IP-Adressen nach 30 Tagen, Krisendetails nach 90 Tagen, Burnout-Rohdaten nach 180 Tagen
• Passwörter werden ausschließlich als bcrypt-Hash gespeichert (nicht reversibel)

8. Deine Rechte als betroffene Person

Du hast gemäß DSGVO folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Du kannst Auskunft über deine bei uns gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen. Bei Kontolöschung werden alle personenbezogenen Daten nach einer 30-tägigen Sicherheitsfrist automatisch und unwiderruflich gelöscht. Rechnungsdaten werden gemäß §14b UStG anonymisiert aufbewahrt (10-Jahres-Aufbewahrungspflicht). Du kannst deine Daten jederzeit in den Kontoeinstellungen oder per E-Mail an uns exportieren (Art. 20 DSGVO) und löschen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung deiner Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Du hast das Recht, deine Daten in einem maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten jederzeit widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Du kannst erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung deiner Rechte wende dich bitte an: rooftop-entertainment@mail.de

9. Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde ist:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98
24103 Kiel
www.datenschutzzentrum.de

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an aktuelle rechtliche Anforderungen anzupassen oder Änderungen unserer Leistungen umzusetzen. Die jeweils aktuelle Version findest du stets auf dieser Seite.