Datenschutzerklärung

Stand: [Datum eintragen]

1. Verantwortlicher

Dr. rer. nat. Pedro Stange
Adelheidstr. 1, 65582 Diez, Deutschland
E-Mail: ps@bia-app.net
Kontakt: Datenschutzanfrage stellen

2. Geltungsbereich

Diese Erklärung gilt für die Website bia-app.net und die Webanwendung app.bia-app.net.

3. Rollen nach DSGVO

Die Verarbeitung erfolgt in zwei Rollen:

• Als Verantwortlicher — für Kontoverwaltung, Support und Betrieb der Website (Ziffern 4.1 bis 4.4 und 4.6) sowie für Daten, die Nutzer ausschließlich über sich selbst erfassen.
• Als Auftragsverarbeiter — für Daten, die Nutzer im Rahmen einer Kooperation über eigene Klienten erfassen (Ziffer 4.5). Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der den betreffenden Nutzern individuell bereitgestellt und von ihnen bestätigt wird.

4. Erhobene Daten, Zwecke und Rechtsgrundlagen

4.1 Konto und Anmeldung

Daten: E-Mail-Adresse, Benutzername, Passwort (mit bcrypt gehasht), Kontokennung, Verifizierungsstatus; nach Vervollständigung des Profils zusätzlich Vor- und Nachname, Geschlecht, Geburtsdatum.

Zweck: Bereitstellung der Anwendung, Authentifizierung, Kontoverwaltung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Bis zur Löschung des Kontos. Konten ohne Anmeldung seit mehr als zwölf Monaten werden gelöscht; die Löschung erfolgt innerhalb von 90 Tagen nach Ablauf dieser Frist.

Die Anwendung wird unentgeltlich und ohne Verfügbarkeitszusage bereitgestellt. Sie kann mit einer Ankündigungsfrist von mindestens 30 Tagen eingestellt werden; nach Ablauf der Frist werden die Konten und die darin gespeicherten Daten gelöscht.

4.2 Kontosicherheit

Daten: IP-Adresse der letzten erfolgreichen Anmeldung (nur der aktuelle Wert, keine Historie) sowie technische Daten zum Schutz vor unbefugten Zugriffsversuchen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Kontos).

4.3 Eigene Messdaten der Nutzer

Daten: Größe, Gewicht, Alter, Resistanz, Reaktanz, Phasenwinkel und daraus abgeleitete Werte, soweit ein Nutzer sie über sich selbst erfasst.

Einstufung: Gesundheitsdaten nach Art. 9 DSGVO.

Rechtsgrundlage: Ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, erteilt bei der Einrichtung des Kontos. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

4.4 Kontaktformular

Daten: Name, E-Mail-Adresse und Nachrichtentext werden ausschließlich per E-Mail übermittelt und nicht in der Datenbank gespeichert. Zur Abwehr automatisierten Missbrauchs wird die IP-Adresse kurzzeitig und ausschließlich in gehashter Form zur Zählung von Anfragen verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4.5 Klientendaten (Auftragsverarbeitung)

Daten: Körper- und Gesundheitsdaten (Größe, Gewicht, Alter, Resistanz, Reaktanz, Phasenwinkel sowie abgeleitete Parameter), demographische Angaben, optional E-Mail-Adresse und Notizen sowie gegebenenfalls die Bestätigung des Nutzers, dass eine Einwilligung vorliegt. Der Nachweis der Einwilligung selbst obliegt dem Nutzer und wird nicht gespeichert.

Einstufung: Gesundheitsdaten nach Art. 9 DSGVO.

Verantwortlich: Der jeweilige Nutzer. Ich handele insoweit als Auftragsverarbeiter auf Grundlage des individuell geschlossenen Auftragsverarbeitungsvertrags.

Speicherdauer: Nach Beendigung des Nutzungsverhältnisses werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben. Erfolgt keine Wahl, werden sie 30 Tage nach Ablauf einer angekündigten Exportfrist gelöscht.

4.6 Server-Logs

Daten: IP-Adresse, Zeitstempel, Anfragepfad, User-Agent, Statuscode.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit und Fehlerdiagnose).

5. Sprache

Die Anzeigesprache wird bei jedem Aufruf aus der Spracheinstellung des Browsers (Header Accept-Language) ermittelt. Eine Sprachpräferenz wird nicht dauerhaft gespeichert.

6. Auftragsverarbeiter und Drittlandbezug

Unternehmen	Leistung	Ort
MongoDB, Inc. (USA)	Datenbank-Hosting (Atlas)	Frankfurt, DE
Render Services, Inc. (USA)	Anwendungs-Hosting	Frankfurt, DE
Webgo GmbH	SMTP, DNS, statisches Webhosting	Hamburg, DE

Die Verarbeitung findet in Rechenzentren innerhalb der EU statt. Aufgrund der US-Konzernzugehörigkeit von MongoDB und Render kann ein Drittlandbezug bestehen. Dieser ist durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie, soweit anwendbar, durch die Zertifizierung nach dem EU-U.S. Data Privacy Framework abgesichert.

7. Cookies und lokale Speicherung

Es kommen ausschließlich technisch notwendige Mechanismen zum Einsatz: httpOnly-Authentifizierungs-Cookies sowie ein Bearer-Token im localStorage als Rückfallebene für Safari und iOS. Es werden keine Tracking-, Analyse- oder Marketing-Cookies verwendet und keine externen Analyse-, Schriftart- oder CDN-Dienste eingebunden.

8. Verschlüsselung

Personenbezogene und gesundheitsbezogene Daten werden mit AES-256 verschlüsselt gespeichert, Passwörter mit bcrypt gehasht, die Übertragung erfolgt ausschließlich über HTTPS. Das Geschlecht wird unverschlüsselt gespeichert (binärer Wert, geringes Schutzbedürfnis).

9. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Datenexport und Kontolöschung lassen sich unmittelbar in der Anwendung veranlassen. Weitere Anträge über das Kontaktformular.

10. Beschwerderecht

Zuständige Aufsichtsbehörde:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz · datenschutz.rlp.de

11. Änderungen

Diese Erklärung wird bei wesentlichen Änderungen aktualisiert.