App-Datenschutzerklärung

Verantwortliche Stelle

Welche Daten wir verarbeiten

Bei der Nutzung der App werden folgende Daten verarbeitet:

Registrierungsdaten

• E-Mail-Adresse
• Anmeldung passwortlos über einen einmaligen Anmeldelink („Magic Link") – ein Passwort wird nicht gespeichert
• PIN (optional, verschlüsselt gespeichert)
• Einwilligungen (AGB, Verarbeitung von Gesundheitsdaten; optional Newsletter) mit Zeitstempel
• Zahlungsinformationen (ausschließlich über Stripe, nicht auf unseren Servern)

Nutzungsdaten (Gesundheitsdaten)

• Angaben, die Sie selbst eingeben (z. B. zu Zwängen, Gedanken, Expositionsübungen, Protokolle)
• Fortschritts-Tracking (z. B. absolvierte Übungen, Stimmungsprotokolle)
• Persönliche Notizen und Reflexionen

Onboarding-Daten

Angaben aus dem Onboarding in der App (nach der Anmeldung); siehe Abschnitt „Onboarding in der App".

Technische Daten

• IP-Adresse (vollständig anonymisiert: aus IP 11.22.33.44 wird 0.0.0.0)
• Browserinformationen
• Geräteinformationen
• Technische Log-Dateien (zur Fehleranalyse und IT-Sicherheit, enthalten keine Gesundheitsdaten, automatische Löschung nach 90 Tagen)

Registrierung und Vertragsabschluss

Die Anmeldung erfolgt passwortlos. Sie geben Ihre E-Mail-Adresse an und erteilen die erforderlichen Einwilligungen (AGB, Verarbeitung von Gesundheitsdaten sowie optional Newsletter). Zur Spam- und Missbrauchsvermeidung verarbeiten wir dabei vorübergehend technische Daten (z. B. IP-Adresse, Browser-Information).

Anschließend werden Sie zur Zahlung an Stripe weitergeleitet (siehe Abschnitt „Zahlungsabwicklung"). Dabei wird Ihre E-Mail-Adresse zur Vorbefüllung des Bezahlformulars an Stripe übermittelt.

Nach erfolgreicher Zahlung senden wir Ihnen eine E-Mail mit einem einmaligen Anmeldelink („Magic Link"). Mit dem Klick auf diesen Link wird Ihr Premium-Nutzerkonto erstellt. Ein Passwort wird zu keinem Zeitpunkt gespeichert.

Onboarding in der App

Nach der Anmeldung können Sie in der App ein Onboarding (Fragebogen zu Symptomen, Auslösern und Zielen) durchlaufen, um Inhalte und Übungen auf Ihre Situation abzustimmen. Diese Angaben können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein und werden ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) verarbeitet. Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

E-Mail-Versand

Der Versand transaktionaler E-Mails (z. B. Anmeldelink, Konto- und Service-Nachrichten) sowie etwaiger Erinnerungs-E-Mails erfolgt über Amazon SES (AWS Simple Email Service), Server-Standort eu-central-1 (Frankfurt, Deutschland). AWS fungiert als Auftragsverarbeiter (Art. 28 DSGVO); die Übertragung erfolgt verschlüsselt (TLS). Erinnerungs- bzw. Newsletter-E-Mails können Sie jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an mail@ocdandme.com abbestellen.

Zweck der Verarbeitung

Die Daten werden verarbeitet, um Ihnen die Funktionen der App bereitzustellen (Psychoedukation, Selbstreflexion, Planung und Dokumentation von Übungen).

Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung: Registrierung, Vertragsabschluss, Nutzung der App)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung: Newsletter- bzw. Erinnerungs-E-Mails)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: IT-Sicherheit, Missbrauchsverhinderung)
• Art. 9 Abs. 2 lit. a DSGVO (Ihre ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten)

Die Einwilligung in die Verarbeitung von Gesundheitsdaten erfolgt über eine separate Checkbox. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Datensicherheit

• Alle Daten werden verschlüsselt (TLS/SSL) übertragen.
• Gesundheitsdaten werden auf Servern in Deutschland gespeichert.
• Wir treffen technische und organisatorische Maßnahmen nach dem Stand der Technik, um Ihre Daten zu schützen.

Zahlungsabwicklung

Die Zahlungsabwicklung erfolgt über den Dienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe verarbeitet Zahlungsdaten eigenverantwortlich. Details finden Sie in der Datenschutzerklärung von Stripe: https://stripe.com/de/privacy

An Stripe übermittelte Daten:

• E-Mail-Adresse (zur Vorbefüllung des Checkout-Formulars)
• Zahlungsdaten (werden ausschließlich von Stripe verarbeitet)
• Rechnungsadresse (im Stripe-Checkout erhoben)

Datenübermittlungen außerhalb der EU:

Stripe Payments Europe Ltd. ist in Irland (EU) ansässig und verarbeitet Zahlungsdaten primär innerhalb der Europäischen Union. Als Teil der Stripe Inc. (USA) kann es jedoch zu konzerninternen Datenübermittlungen in Drittländer kommen. Für solche Übermittlungen verwendet Stripe EU-Standardvertragsklauseln gemäß Art. 46 DSGVO sowie zusätzliche technische und organisatorische Schutzmaßnahmen. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Automatisierte Verarbeitung nach Zahlung

Nach erfolgreicher Zahlung über Stripe erhalten wir automatisch eine Benachrichtigung (Webhook). Daraufhin werden folgende Schritte ausgeführt:

1. Anmeldelink: Sie erhalten eine E-Mail mit einem einmaligen Anmeldelink („Magic Link")
2. Account-Erstellung: Mit dem Klick auf den Anmeldelink wird Ihr Premium-Nutzerkonto erstellt
3. Bereitstellung: Ihr Premium-Zugang (monatliches Abonnement) wird freigeschaltet

Dieser Prozess ist erforderlich, um Ihnen den vertraglich geschuldeten Premium-Zugang unmittelbar nach der Zahlung bereitzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Vertragswiderruf (Widerrufsbutton)

Über unseren Widerrufsbutton können Sie Ihren Vertrag über das ocd&me Premium-Abonnement ohne Anmeldung widerrufen (§ 356a BGB). Im Rahmen dieses Vorgangs verarbeiten wir folgende Daten:

• Ihren Namen,
• Ihre E-Mail-Adresse (zur Identifikation Ihres Vertrags und für die Eingangsbestätigung),
• optional und freiwillig einen von Ihnen angegebenen Grund für den Widerruf,
• den Zeitpunkt des Eingangs Ihres Widerrufs sowie – aus technischen Sicherheitsgründen – Ihre auf das Netzwerk gekürzte (anonymisierte) IP-Adresse und die Browserkennung (User-Agent).

Aus Ihrer E-Mail-Adresse leiten wir eine Vertragsnummer sowie einen Prüfwert (Hash) ab, um Ihren Widerruf Ihrem bestehenden Vertrag zuzuordnen.

Zweck: Entgegennahme, Nachweis und Bearbeitung Ihres Widerrufs sowie die Rückabwicklung des Vertrags (einschließlich Beendigung des Abonnements und etwaiger Rückerstattung).

Empfänger: Ihre Angaben werden durch unser Kundenserviceteam bearbeitet. Zur Beendigung des Abonnements und für Rückerstattungen wird der Zahlungsdienstleister Stripe (siehe Abschnitt „Zahlungsabwicklung") einbezogen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. -rückabwicklung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung unserer gesetzlichen Pflicht nach § 356a BGB einschließlich der Nachweispflicht).

Speicherdauer: Wir speichern die Widerrufsdaten zu Nachweiszwecken bis zum Ablauf möglicher gesetzlicher Verjährungsfristen (in der Regel drei Jahre) und löschen sie anschließend. Abrechnungsrelevante Daten unterliegen den gesetzlichen Aufbewahrungspflichten (siehe „Speicherdauer").

Speicherdauer

Ihre Daten werden so lange gespeichert, wie Sie ein Nutzerkonto haben.

• Gesundheitsdaten: Werden innerhalb von 30 Tagen nach Löschung Ihres Kontos vollständig gelöscht
• Technische Log-Dateien: Automatische Löschung nach 90 Tagen
• Daten aus abgebrochener Registrierung: Nicht abgeschlossene Anmeldungen (ohne Zahlung) werden nach spätestens 7 Tagen gelöscht
• Abrechnungsdaten: Werden gemäß gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) für 10 Jahre aufbewahrt

Ihre Rechte

Sie haben jederzeit folgende Rechte:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf Ihrer Einwilligung in die Verarbeitung von Gesundheitsdaten (Art. 7 Abs. 3 DSGVO)

Kontakt für Ausübung Ihrer Rechte:
E-Mail: mail@ocdandme.com

Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Widerruf der E-Mail-Einwilligung

Sie können Ihre Einwilligung zur Zusendung von E-Mails jederzeit widerrufen:

• Über den Abmelde-Link in jeder E-Mail
• Per E-Mail an mail@ocdandme.com mit dem Betreff "E-Mails abmelden"
• In Ihren Konto-Einstellungen in der App (falls verfügbar)

Nach dem Widerruf erhalten Sie keine weiteren E-Mails mehr. Dies hat keine Auswirkungen auf Ihren App-Zugang oder bereits erhaltene Inhalte.

Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung und kein Profiling statt.