Datenschutzerklärung

Salvor zeigt dir jeden Morgen, wie bereit du bist (Tagesform), wie gut du geschlafen und wie viel du dich bewegt hast. Diese Erklärung beschreibt, welche Daten die App liest und speichert, wozu, wie sie geschützt sind, wer außer uns beteiligt ist, wie lange wir sie aufbewahren und welche Rechte du hast. Wir verarbeiten Gesundheitsdaten – eine besondere Kategorie nach Art. 9 DSGVO.

1. Wer ist verantwortlich?

Verantwortlich ist die StatMap Analytics UG (haftungsbeschränkt), Justus-von-Liebig-Hang 10, 66740 Saarlouis, vertreten durch den Geschäftsführer Joshua Grunenberg (Amtsgericht Saarbrücken, HRB 111083). Für Fragen zu deinen Daten: privacy@salvor.eu

2. Welche Daten wir verarbeiten und warum

Zweck	Daten	Warum	Rechtsgrundlage
Konto & Anmeldung	E-Mail und gehashtes Passwort oder E-Mail und Apple-Nutzerkennung bei „Mit Apple anmelden“; wann und zu welcher Fassung dieser Erklärung du in die Verarbeitung von Gesundheitsdaten eingewilligt hast	Kontoerstellung und -sicherheit	Vertrag (Art. 6 Abs. 1 lit. b DSGVO)
Gesundheitsdaten aus Apple Health / Health Connect	Schlaf (Dauer, Phasen); Puls, Ruhepuls, HRV, Atemfrequenz, Sauerstoffsättigung, Körper-, Haut- und Basaltemperatur; Schritte, Strecke, aktive Energie, Trainingsminuten; Workouts mit Puls, Leistung, Tempo, Trittfrequenz, Höhenmetern und – falls aufgezeichnet – GPS-Strecke (genauer Standort); Größe, Gewicht, Körperfett, fettfreie Masse, Taillenumfang, VO₂max; Zyklusdaten (Menstruation, Schmierblutung, Zervixschleim, Ovulationstests, Basaltemperatur, Zyklus-Beschwerden) und die Zyklus-Situation, die du wählst (natürlicher Zyklus, hormonelle Verhütung, Schwangerschaft); Achtsamkeitssitzungen (nur als Zeitraum, um Messwerte einzuordnen); der Name der aufzeichnenden Quelle (oft der Name deines Geräts)	Berechnung von Tagesform, Schlaf und Bewegung, Tagesziel, Verlauf, Wochenrückblick und Momenten	Ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO)
Deine Einträge	Notfallkarte, Impfungen, Blutwerte, Medikamente, Check-ins, Krafttrainingsprotokolle, Momente, Pausenmodus, Ziele und Einheiten	Unterlagen an einem Ort, Check-in und Momente	Ausdrückliche Einwilligung
Profil	Name, Geburtsdatum, Blutgruppe, biologisches Geschlecht sowie deine aktuelle Größe und dein Gewicht (aus Apple Health oder Health Connect übernommen)	Notfallkarte; Tagesform, Pulszonen und Tagesziel	Vertrag + ausdrückliche Einwilligung
Verbundene Dienste (optional)	Daten von Oura, WHOOP, Withings, Fitbit oder Awair (Raumluft) – nur wenn du sie verbindest – und die Zugangstoken	Ergänzung deiner eigenen Messwerte	Ausdrückliche Einwilligung
KI-Assistenten (optional)	Die Datenbereiche, denen du beim Verbinden zustimmst (Abschnitt 4)	Antworten auf deine Fragen in ChatGPT, Claude oder ähnlichen Werkzeugen	Ausdrückliche Einwilligung
Freigaben für Arztpraxis und Coach (optional)	Eine Kopie der Daten, die du auswählst, und dein Name	Freigabe-Links, die du erstellst	Ausdrückliche Einwilligung
Forschungsbeitrag (optional, nur im Web)	Pseudonymisierte Gesundheitsdaten mit zufälligem Rauschen und verschobenen Datumsangaben	Gesundheitsforschung	Ausdrückliche Einwilligung
Sicherheitsprotokoll	Nutzer-ID, Aktion, betroffener Eintrag, IP-Adresse, Zeitpunkt	Missbrauch erkennen und aufklären	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)
Server-Protokolle	IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode	Betrieb des Dienstes und Abwehr von Angriffen	Berechtigtes Interesse

3. Verschlüsselung und Sicherheit

Gemessene Gesundheitsdaten (auch GPS-Strecken), deine Unterlagen (Impfungen, Blutwerte, Medikamente), die Werte von Zykluseinträgen, Check-ins und die Zugangstoken verbundener Dienste speichern wir mit AES-256-GCM verschlüsselt, mit einem eigenen Schlüssel pro Person. Dieser Schlüssel ist selbst verschlüsselt: bei Konten mit Passwort mit einem Schlüssel, der aus deinem Passwort abgeleitet wird (Argon2id), bei Konten mit „Mit Apple anmelden“ mit einem Server-Schlüssel. Verbindest du ein Konto mit Passwort später mit Apple, liegt zusätzlich eine Kopie deines Schlüssels mit diesem Server-Schlüssel vor. Nach deiner Anmeldung entschlüsselt der Server deinen Schlüssel und hält ihn – selbst verschlüsselt – in einem Sitzungsspeicher bereit, solange du angemeldet bist (höchstens 30 Tage). So kann er Tagesform, Exporte und Antworten berechnen. Das gilt auch für API-Schlüssel und verbundene KI-Assistenten, solange diese Verbindung besteht. Es handelt sich nicht um eine Ende-zu-Ende-Verschlüsselung: Während einer Sitzung kann der Server deine Daten lesen. Ebenso verschlüsselt sind dein Profil (Name, Geburtsdatum, Blutgruppe, Geschlecht, Größe und Gewicht) und die Art jedes Zykluseintrags; ältere Angaben werden verschlüsselt, sobald du Salvor das nächste Mal nutzt. Nicht verschlüsselt gespeichert sind: deine Notfallkarte, damit Rettungskräfte eine geteilte Karte ohne Anmeldung öffnen können – solange sie geteilt ist, enthält sie eine Kopie der Profilangaben, die sie zeigt; die Kopie der Daten in einer Freigabe für Arztpraxis oder Coach, bis die Freigabe endet; Notizen, die ein Coach über dich anlegt; der Nachweis deiner Einwilligung; sowie technische Angaben wie Datum und Uhrzeit eines Eintrags und zu welchem Bereich er gehört (zum Beispiel Schlaf oder ein Workout). Bei Zyklusdaten sieht der Server, an welchen Tagen es Einträge gibt, aber nicht, welche. Alle Verbindungen laufen über HTTPS; die App prüft zusätzlich das Zertifikat des Servers (Certificate Pinning).

4. Verbundene Dienste und KI-Assistenten

Oura, WHOOP, Withings, Fitbit, Awair – nur wenn du sie verbindest. Du meldest dich beim Anbieter an; Salvor ruft deine Daten dann etwa alle zwei Stunden dort ab, beim ersten Mal für das vergangene Jahr. Die Zugangstoken werden verschlüsselt gespeichert. Du kannst die Verbindung jederzeit trennen. Für die Verarbeitung beim Anbieter gilt dessen Datenschutzerklärung.
KI-Assistenten (MCP) – verbindest du einen Assistenten wie ChatGPT oder Claude über https://api.salvor.eu/mcp, meldest du dich bei Salvor an und wählst, welche der angefragten Datenbereiche er lesen darf. Erst mit „Zugriff erlauben“ entsteht die Verbindung. Auch bei einem API-Schlüssel legst du die Datenbereiche selbst fest. Alle Zugriffe sind nur lesend und werden protokolliert.
Deine Daten verlassen Salvor nur, wenn dein Assistent in deinem Auftrag fragt – Salvor schickt von sich aus nichts an ihn. Was der Anbieter des Assistenten mit den Antworten macht, regelt dessen Datenschutzerklärung; der Anbieter kann außerhalb der EU sitzen.
Jede Verbindung siehst und trennst du in der App unter „KI verbinden“ oder im Web unter „Freigaben & Zugriffe“. Der Zugriff endet sofort.

5. Freigaben und Forschung

Freigaben für eine Arztpraxis laufen zwischen einer Stunde und 30 Tagen, wie du es wählst. Freigaben für einen Coach laufen, bis du sie beendest, höchstens ein Jahr. Eine Freigabe enthält eine Kopie der Datenbereiche, die du ausgewählt hast, und deinen Namen. Endet oder läuft eine Freigabe ab, löschen wir die Kopie.
Forschungsbeiträge gibt es nur, wenn du im Web zustimmst; du kannst jederzeit widerrufen. Sie enthalten weder Namen noch E-Mail; die Werte sind mit zufälligem Rauschen versehen, die Datumsangaben verschoben. Wir können einen Beitrag aber noch deinem Konto zuordnen – so löschen wir ihn, wenn du widerrufst oder dein Konto löschst. Rechtlich sind die Daten deshalb pseudonymisiert, nicht anonym. Forschende erhalten nur Exporte von Studien, denen du beigetreten bist.

6. Was auf deinem Gerät bleibt

Salvor liest aus Apple Health und Health Connect. Hinein schreibt es nur die Zyklus-Einträge, die du in Salvor machst (Periode, Schmierblutung, Beschwerden, Ovulationstests, Zervixschleim), und erst, wenn du es erlaubst. Daten, die noch nicht übertragen sind, bleiben bis zur nächsten Synchronisierung in der App. Deine Anmeldung liegt im sicheren Schlüsselbund des Geräts.
Für das iPhone-Widget legt die App Tagesform, Schlaf, Bewegung und die Figuren in einem geschützten Bereich auf deinem Gerät ab (App Group), den nur Salvor und sein Widget lesen können.
Erinnerungen (Schlafenszeit, Check-in am Morgen) plant die App lokal auf deinem Gerät. Es gibt keinen Push-Server und kein Push-Token.
Die App enthält keine Werbe- oder Analyse-SDKs und keine Absturzberichte.

7. Wo deine Daten verarbeitet werden

Deine Daten liegen auf Servern der Hetzner Online GmbH in Deutschland. Außerdem beteiligt sind:

Hetzner Online GmbH (Deutschland) – Server für API, Datenbank, Zwischenspeicher und Sicherungen. Dort läuft auch die Texterkennung für hochgeladene Laborbefunde; die Datei speichern wir nicht.
Vercel Inc. (USA) – betreibt die Web-App app.salvor.eu und die Website salvor.eu. Nutzt du die Web-App, laufen deine Daten auf dem Weg in deinen Browser durch Vercels Server in Frankfurt; Vercel speichert sie nicht. Vercels Netz sieht deine IP-Adresse.
Expo (650 Industries, Inc., USA) – liefert App-Updates aus. Fragt die App nach einem Update, erhält Expo deine IP-Adresse, die App-Version und die Plattform, keine Gesundheitsdaten.
Apple und Google – „Mit Apple anmelden“, Vertrieb der App, Apple Health und Health Connect auf deinem Gerät sowie Kartenkacheln für Workout-Strecken (Apple Karten auf dem iPhone). Apple und Google erhalten von uns keine Gesundheitsdaten.
Dienste und Assistenten, die du selbst verbindest (Abschnitt 4).

Sitzt ein Anbieter außerhalb der EU, stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission oder das EU-US Data Privacy Framework.

8. Cookies und Speicher im Browser

Die Web-App setzt nur Cookies, die sie zum Funktionieren braucht: deine Anmeldung (eine Stunde gültig, bis zu 30 Tage verlängert) und deine Sprache. Außerdem merkt sich der lokale Speicher des Browsers dein Erscheinungsbild und deine Ansicht. Die Website salvor.eu setzt keine Cookies; sie merkt sich nur Erscheinungsbild und Sprache im lokalen Speicher. Es gibt kein Tracking und keine Analyse. Rechtsgrundlage: § 25 Abs. 2 TDDDG (unbedingt erforderlich).

9. Wie lange wir deine Daten speichern

Wir speichern deine Daten, bis du dein Konto oder einzelne Einträge löschst. Löschst du dein Konto in der App, entfernen wir Konto, Gesundheitsdaten, Unterlagen, Freigaben, Verbindungen und Forschungsbeiträge sofort aus der Datenbank. In unseren Sicherungen sind sie noch bis zu sechs Wochen enthalten; danach sind sie überall gelöscht. Einträge im Sicherheitsprotokoll verlieren beim Löschen den Bezug zu dir und werden nach 90 Tagen entfernt. Server-Protokolle löschen wir nach 14 Tagen. Daten in Apple Health oder Health Connect auf deinem Telefon bleiben davon unberührt.

10. Deine Rechte (DSGVO)

Du hast das Recht auf:

Auskunft – Kopie aller deiner Daten anfordern
Datenübertragbarkeit – Export in maschinenlesbarem Format (in der App unter Profil und im Web)
Berichtigung – fehlerhafte Daten korrigieren
Löschung – Konto und alle Daten löschen
Widerruf der Einwilligung – jederzeit, ohne Auswirkung auf die Verarbeitung bis dahin; für Gesundheitsdaten, indem du den Zugriff in Apple Health oder Health Connect entziehst oder dein Konto löschst
Widerspruch – gegen Verarbeitung auf Basis berechtigter Interessen
Beschwerde – bei einer Datenschutzaufsichtsbehörde; für uns zuständig ist das Unabhängige Datenschutzzentrum Saarland

Dein Konto löschst du in der App unter Profil › Konto löschen. Für alles andere schreib an privacy@salvor.eu. Wir antworten innerhalb eines Monats.

11. Wellness – kein medizinischer Rat

Salvor ist eine allgemeine Wellness-App und kein Medizinprodukt. Nicht zur Diagnose, Behandlung, Heilung oder Vorbeugung von Krankheiten bestimmt. Tagesform, Schlaf, Bewegung und alle Verläufe sind rein informativ.

12. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Salvor ändert. Das Datum oben zeigt die letzte Überarbeitung. Betrifft eine Änderung etwas, in das du eingewilligt hast, fragen wir dich erneut.

13. Kontakt

Datenschutzfragen und Anfragen: privacy@salvor.eu Sicherheitsprobleme: security@salvor.eu