TempoLife — Datenschutzerklärung

Verantwortlicher

Verantwortlicher für Ihre personenbezogenen Daten ist:

• Entwickler: TempoLife-Team / Probyte OÜ
• Anwendung: TempoLife (org.tyrnpuu.medix)
• E-Mail: info@tempolife.app
• Website: tempolife.app

Diese Datenschutzerklärung beschreibt, wie die Anwendung TempoLife Ihre personenbezogenen Daten gemäß der Datenschutz-Grundverordnung der EU (DSGVO, Verordnung 2016/679) und dem estnischen Personendatenschutzgesetz erhebt, verwendet, speichert und schützt.

Welche Daten wir erheben

2.1 Konto- und Identitätsdaten

• Name und E-Mail (bei der Registrierung oder über Google Sign-In)
• Profilfoto (optional)
• Geburtsdatum, Geschlecht, Körpergröße, Gewicht — nur wenn Sie diese freiwillig angeben

2.2 Gesundheitsdaten (DSGVO Art. 9 — besondere Kategorie)

• Ernährungstagebücher (Kalorien, Makronährstoffe, Fotos)
• Schritte, körperliche Aktivität, Workouts
• Schlafdauer und -phasen, Aufwachzeit
• Stimmung, Stressniveau und Wohlbefindensnotizen
• Körpergewicht und Fastenfenster
• Herzfrequenz (aus Health Connect)

2.3 Technische Daten

• Gerätetyp, Betriebssystem, App-Version (User-Agent-Header)
• IP-Adresse (Server-Logs, max. 90 Tage gespeichert)
• Sitzungskennung (PHP-Sitzung, CSRF-Token)

2.4 Was wir NICHT erheben

• Standortverlauf oder Hintergrundstandort — die optionale Restaurantsuche verwendet Ihren Standort nur während der Suche und speichert ihn nicht (siehe Abschnitt 2g)
• Gerätekennungen (IMEI, Werbe-ID, MAC)
• Kontakte, Anrufprotokolle, SMS
• Daten aus anderen Apps — mit einer Ausnahme: Wenn Sie Android Health Connect verbinden, lesen wir die Datentypen, die Sie ausdrücklich erlaubt haben (siehe Abschnitt 2a)
• Ihre Fotogalerie — Kamera- und Bildzugriff werden nur für ein Essensfoto verwendet, das Sie selbst aufnehmen oder auswählen (siehe Abschnitt 2b)

Android Health Connect

Unter Android kann TempoLife Gesundheits- und Fitnessdaten aus Health Connect lesen, dem in Android integrierten Datenspeicher. Dies ist vollständig freiwillig. Es wird nichts gelesen, bevor Sie Health Connect in der App verbinden und auf dem Berechtigungsbildschirm von Android für jeden Datentyp einzeln die Erlaubnis erteilen.

Was wir lesen

• Schritte — tägliche Schrittzahlen
• Schlaf — Schlafsitzungen und Schlafphasen (Tief, Leicht, REM, Wach)
• Herzfrequenz — Herzfrequenzmesswerte
• Ruheherzfrequenz — vom Anbieter berechnete Ruheherzfrequenz-Messungen
• Herzfrequenzvariabilität (HRV, RMSSD) — ein Millisekundenwert für Erholungstrends
• Trainingseinheiten — Trainingsart, Beginn, Ende und Dauer
• Körpergewicht — Gewichtsmessungen

Wir fordern ausschließlich Lesezugriff an. TempoLife schreibt nichts nach Health Connect zurück.

Warum die App sie benötigt

Diese Datentypen speisen die zentralen Ansichten der App: Schritt- und Aktivitätssummen, Schlafauswertungen, den Gewichtsverlauf sowie einen eigenen Herz-Bildschirm mit dem aktuellen Messwert, einer persönlichen 28-Tage-Basislinie der Ruheherzfrequenz, Kontext aus Aktivität, Schlaf, Fasten, Meditation und Stimmung, Trainingszonen und Herzfrequenzerholung sowie einer nicht-medizinischen Erholungsübersicht auf Basis von Ruheherzfrequenz, HRV, Schlaf und jüngster Trainingsbelastung. Ohne Health Connect können diese Daten nicht automatisch befüllt werden.

Woher die Daten stammen

Health Connect ist ein Speicher auf Ihrem eigenen Gerät, in den andere Apps und Geräte schreiben — zum Beispiel Samsung Health oder Garmin. TempoLife liest, was bereits in Health Connect vorhanden ist. Die App verbindet sich nicht direkt mit diesen Diensten und kann nichts über die von Ihnen erlaubten Datentypen hinaus sehen. Health Connect selbst läuft auf Ihrem Gerät; die Verbindung sendet Ihre Daten nicht an Google.

Wie viel Verlauf

Wenn Sie zusätzlich den Zugriff auf den Verlauf erteilen, kann TempoLife bis zu den letzten 12 Monaten an Schritt-, Schlaf- und Körpergewichtsdaten lesen. Das Herz-Modul liest für seine Basislinie bis zu 35 Tage Ruheherzfrequenz und HRV sowie bis zu 30 Tage Trainingseinheiten. Ohne Verlaufszugriff begrenzt Health Connect historische Lesevorgänge auf etwa 30 Tage. Da Wearables Tausende von Messwerten erzeugen können, ist der allgemeine Herzfrequenz-Import auf die letzten 7 Tage begrenzt; dichtere Messwerte werden rund um kürzliche Workouts aufbewahrt, um Zonen und die 1-/2-Minuten-Herzfrequenzerholung zu berechnen. Spätere Synchronisierungen lesen nur neue oder geänderte Datensätze mit einer kurzen Überlappung.

Wo sie gespeichert werden

Aus Health Connect gelesene Daten werden über HTTPS/TLS übertragen und in Ihrem eigenen TempoLife-Konto auf unseren Servern in Estland (EU) gespeichert — genau wie von Hand eingegebene Daten. Sie sind nur für Sie sichtbar.

Was wir damit niemals tun

• Health-Connect-Daten werden niemals für Werbung oder Marketing, für personalisierte oder interessenbasierte Werbung oder zum Aufbau von Werbezielgruppen verwendet.
• Sie werden niemals an Werbenetzwerke, Werbeplattformen, Datenhändler oder Informationsweiterverkäufer weitergegeben.
• Sie werden niemals verkauft — an niemanden, zu keinem Zweck.
• Sie werden niemals in ein Analyse- oder Werbeereignis aufgenommen, das die App versendet.
• Sie werden an keinen Dritten für dessen eigene Zwecke weitergegeben.

Zugriff widerrufen

• In der App: Trennen Sie Health Connect in den App-Einstellungen. TempoLife liest dann keine neuen Daten mehr.
• Auf Ihrem Gerät: Android Einstellungen → Health Connect → App-Berechtigungen → TempoLife, wo Sie einzelne Datentypen oder den gesamten Zugriff auf einmal entfernen können. Health Connect führt zudem ein eigenes Protokoll darüber, welche Apps Ihre Daten gelesen haben.

Der Widerruf beendet alle künftigen Lesevorgänge. Bereits synchronisierte Daten verbleiben in Ihrem TempoLife-Konto, damit Ihr Verlauf nicht stillschweigend verloren geht — Sie können ihn jederzeit exportieren (Abschnitt 8), und er wird endgültig gelöscht, wenn Sie Ihr Konto löschen (Abschnitt 8a).

Kamera und Essensfotos

TempoLife bittet aus einem einzigen Grund um Kamerazugriff: eine Mahlzeit zu fotografieren, damit sie automatisch erkannt statt von Hand eingegeben wird. Sie können stattdessen auch ein vorhandenes Bild auswählen. Die Berechtigung wird erst bei der ersten Nutzung der Funktion angefragt, und die App macht niemals Aufnahmen im Hintergrund.

Das Foto verlässt Ihr Gerät

Die Lebensmittelerkennung findet nicht auf Ihrem Telefon statt. Nach Ihrer Bestätigung wird das Foto über HTTPS an einen KI-Bilddienst eines Dritten gesendet — Google (Gemini) als primärer Anbieter, mit Anthropic (Claude AI) als Ausweichlösung — der die erkannten Lebensmittel und ihre geschätzten Nährwerte zurückgibt. Dies ist eine Übermittlung Ihrer Daten an einen Dritten außerhalb der App und erfolgt erst, nachdem Sie im Dialog in der App ausdrücklich zugestimmt haben. Stimmen Sie nicht zu, wird niemals ein Foto gesendet, und Sie können Lebensmittel weiterhin manuell erfassen.

Was mit dem Foto geschieht

• EXIF- und GPS-Metadaten werden entfernt, bevor das Bild gesendet wird.
• Das Foto wird nur im Moment der Anfrage gesendet und danach gemäß unseren Vereinbarungen von den Servern des Anbieters gelöscht (siehe Abschnitt 4).
• Bei gewöhnlicher KI-Verarbeitung werden nur der resultierende Lebensmitteleintrag und die Nährwerte gespeichert. Eine gesondert eingewilligte Kopie für das öffentliche Archiv ist die in Abschnitt 2e beschriebene Ausnahme.
• Essensfotos werden niemals für Werbung verwendet und niemals verkauft.

Einwilligung der anonymen Vorschau und Missbrauchsschutz

Für die Vorschau ohne Konto speichern wir höchstens 2 Tage lang ausschließlich ein mit einem geheimen Schlüssel gebildetes, tagesbezogenes pseudonymes Netzwerksubjekt, die Einwilligungsversion und den Ereigniszeitpunkt. Dieser Datensatz enthält kein Foto, kein KI-Ergebnis, keinen Lebensmitteleintrag, keine Werbekennung und kein Konto und wird niemals mit Marketinganalysen verknüpft. Grundlage des Einwilligungsnachweises sind Ihre Einwilligung je Nutzung und unsere Nachweispflicht (DSGVO Art. 6 Abs. 1 lit. a und Art. 7); die kurze Anfragebegrenzung stützt sich auf unser berechtigtes Interesse, Missbrauch des Dienstes und unverhältnismäßige KI-Kosten zu verhindern (Art. 6 Abs. 1 lit. f).

Da die Vorschau ohne Konto erfolgt, kann dieser Datensatz weder einem Kontoexport zugeordnet noch von uns zuverlässig zur Identifizierung einer Person genutzt werden. Er wird automatisch innerhalb von 2 Tagen gelöscht. Zur Ausübung eines Rechts oder für einen Widerspruch wenden Sie sich an die Adresse in Abschnitt 12; wir erläutern Ihnen diese praktische Einschränkung und erfüllen ein überprüfbares Ersuchen so weit wie möglich.

Sie können den Kamerazugriff jederzeit unter Android Einstellungen → Apps → TempoLife → Berechtigungen widerrufen. Der Rest der App funktioniert normal weiter.

Community und Tempo Feed

Community ist freiwillig. Wenn Sie sie nicht nutzen, werden keine Ihrer Daten mit anderen Nutzenden geteilt.

Was andere sehen können

• Profil: Ihr Anzeigename, das gewählte Emoji, Level und Punkte.
• Bestenliste: Name, Level und Punktesumme. Sie können sich daraus ausblenden (Community → Datenschutz).
• Challenges: Ihre Teilnahme und Ihr Fortschritt bei Challenges, denen Sie beitreten.
• Nachrichten: was immer Sie senden. Nachrichten können nur zwischen Freunden ausgetauscht werden.
• Feed: Beiträge, Stories, Fotos, Umfragen, Kommentare, Reaktionen und Follow-Beziehungen, die Sie erstellen. Für jeden Beitrag und jede Story wählen Sie das Publikum.

Nichts aus Ihren Gesundheitsprotokollen wird automatisch geteilt. Wenn Sie in den Feed-Einstellungen gesondert eine Aktivitätskategorie aktivieren, können Follower eine begrenzte Zusammenfassung sehen, etwa eine Schrittsumme, die Anzahl erfasster Mahlzeiten, Schlaf- oder Fastendauer, einen Erfolg oder dass eine Gewichtserfassung stattgefunden hat. Genaues Gewicht, Tagebuchzeilen, Notizen, Routen, Stimmung, Herzfrequenz und andere Health-Connect-Daten werden nicht angezeigt.

Melden und Blockieren

Jedes Nutzerprofil verfügt über Blockieren und Melden. Blockieren beendet die Interaktion in beide Richtungen. Wenn Sie etwas melden, speichern wir, wer es gemeldet hat, einen Verweis auf den gemeldeten Inhalt und Ihre Begründung, damit wir den Fall prüfen und bei Bedarf Inhalte entfernen oder Konten sperren können.

Speicherdauer

Nachrichten, Feed-Beiträge und andere Community-Inhalte werden aufbewahrt, bis Sie den Inhalt oder Ihr Konto löschen. Stories laufen nach 24 Stunden ab; nicht zugeordnete Feed-Fotos werden in der Regel innerhalb von zwei Stunden entfernt. Das Löschen Ihres Kontos entfernt Ihr Community-Profil, Nachrichten, Medien und Community-Datensätze wie unter „Datenlöschung“ beschrieben.

Daily-Plan-Challenge (100-€-Kampagne)

Die Punkte-Challenge ist freiwillig. Wenn Sie nicht teilnehmen, werden keine Ihrer Daten für die Kampagne verarbeitet.

Welche Daten die Kampagne nutzt

• Bewertungsdaten: der beim Beitritt eingefrorene Mahlzeitenplan, die Erfüllung des Mahlzeitenplans sowie Art und Zeitstempel jeder bestätigten Aktion. Kalorien, Gewicht, Schrittzahl und Schlafdauer erhöhen die Punktzahl nicht.
• Bestenlistendaten: Ihr Anzeigename, die Punktesumme, Punkte für die Mahlzeitentreue, die Anzahl bestätigter Aktionen und aktive Tage. Das Ausblenden aus der Bestenliste (Community → Datenschutz) gilt auch für die Kampagne.
• Im Gewinnfall: Ihre Kontaktdaten (E-Mail) zur Auszahlung des Preises.

Die Kampagne erhebt keine neuen Daten — sie nutzt nur Daten, die Sie ohnehin in der App erfassen — und gibt sie nicht an Dritte oder Werbenetzwerke weiter.

Rechtsgrundlage und Speicherdauer

Kampagnendaten werden auf Grundlage Ihrer Einwilligung (Beitritt) und der Erfüllung der Kampagnenregeln (Vertrag) verarbeitet. Kampagnendatensätze werden bis zur Löschung Ihres Kontos aufbewahrt; auszahlungsbezogene Daten werden für den handelsrechtlich vorgeschriebenen Zeitraum aufbewahrt. In der Ruhmeshalle bewahren wir nur Ihren Anzeigenamen und ein Ergebnis in Kurzform auf.

Optional public sharing, aggregates and public tools

Public meal card, gallery, photo-of-the-day and giveaway

Ordinary AI food photos are not stored on TempoLife servers. Only after a separate public web archive opt-in does the server create a metadata-stripped JPEG copy and public share card. Public fields can include the photo, food name, your caption, card content and share token; anonymous view and guess counters are not published as engagement metrics. The copy can appear in the gallery, search-indexed structured data and the photo-of-the-day rotation. The card expires after at most 90 days; an automated cleanup removes expired and orphaned files, although an operational failure can delay physical deletion until the next successful cleanup. A photo-of-the-day artifact is valid for at most 36 hours.

Entering that ISO week’s giveaway and displaying a winner name are additional choices tied to the exact approved rules version, material-terms hash and draw commitment for that round. Entry is unavailable until a one-time draw-secret hash has been published before opening. The eligibility check reads the account birthday, country and role to enforce the published minimum age, country list and staff exclusion; those profile fields are not put in the draw artifact. After close, the public audit publishes the secret reveal, a sorted list of pseudonymous entry keys derived from that week and public-card tokens, the list digest and winning key; it does not publish account IDs or the source tokens themselves. Consent does not roll into another week or changed terms. You can remove one item or all items at Public archive settings. Withdrawal immediately suppresses TempoLife publication and attempts to delete the JPEG and public fields; a revocation tombstone remains up to 100 days so TempoLife artifacts cannot republish it. Browsers, proxies, search engines or other recipients may retain a copy they cached while it was public. Account deletion immediately removes TempoLife public cards and copies.

Public aggregates

Regional and activity aggregates have separate settings. They publish only with at least 20 opted-in accounts, use completed or delayed periods and rounded buckets. The regional table omits points and streaks. Names, account identifiers, individual meals and health records never enter public aggregate output. Withdrawal excludes the account from the next calculation.

Estimate-to-label comparison

A voluntary pair contains an editable calorie estimate, same-serving package-label value, optional note and attestation/consent times. The public result covers only the previous completed month: one pair per contributor, at least 100 contributors, counts rounded down to 25 and metrics to whole units. Individual pairs are not published. One-click withdrawal immediately erases the note and calorie values, leaving only a revocation audit marker until account deletion.

Firefox extension and food search

The extension sends only the typed search term or selected food identifier to TempoLife’s food API. It sends no visited pages, page content, cookies or TempoLife account. Firefox stores up to five recent food names locally. TempoLife security logs may receive the search term, IP address, user agent and request time for no more than 90 days.

WordPress badge and Google Play reviews

The WordPress plugin requests only /counter.php?format=json. TempoLife receives the WordPress server IP, plugin user agent and request time (security logs, up to 90 days), but no visitor cookie, visitor IP or page URL. The reviews page may republish public review text, after contact details are scrubbed, plus its rating and Play link from the official Google Play Android Publisher API; the author name is omitted and snapshots older than 72 hours are not shown.

Telegram portion calculator

In an ordinary browser the calculator does not contact Telegram. When launched with Telegram Mini App parameters it loads Telegram’s SDK from telegram.org, which gives Telegram normal request metadata (including IP and user agent) and lets its JavaScript run on that calculator page. TempoLife does not read Telegram identity or init-data fields in this tool.

Optional publication relies on consent (GDPR Art. 6(1)(a)); security and operational logs rely on legitimate interests in protecting the service (Art. 6(1)(f)). Your portability export includes your share cards, remaining public JPEGs, comparison pairs and revocation records.

Schnell-Einrichtungsvariante

Ein neues Konto kann einer Schnell- oder Standard-Einrichtungsvariante zugewiesen werden. Wir speichern nur die Kontoverknüpfung, die Variante, einen aus dem Konto abgeleiteten deterministischen Pseudozufallswert und den Zeitpunkt der Zuweisung, damit dieselbe Person während der gesamten Einrichtung ein einheitliches Erlebnis erhält. Wir erzeugen für diesen Test keine gesonderten Ansichts-, Klick-, Mahlzeiten-, Foto-, Gesundheits-, Werbe- oder Kampagnenereignisse; das Ergebnis wird ausschließlich aus der aggregierten Abschlussquote der bestehenden Profileinrichtung bewertet.

Der Datensatz wird nicht an Google Analytics oder einen anderen Dritten gesendet und nicht für Werbung verwendet. Rechtsgrundlage ist unser berechtigtes Interesse, unnötige Hürden bei der Einrichtung durch einen minimalen, datenschutzfreundlichen Test zu verringern (DSGVO Art. 6 Abs. 1 lit. f); die Abwägung dokumentieren wir vor der Aktivierung. Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, über den Kontakt in Abschnitt 12 Widerspruch einlegen. Eine Zuweisung bei nicht abgeschlossener Einrichtung wird nach 30 Tagen gelöscht, bei abgeschlossener Einrichtung nach 90 Tagen; bei Bearbeitung eines Kontolöschungsantrags wird sie sofort entfernt und ist bis zur Löschung im Datenexport enthalten.

Location (optional)

Location is optional and off until you turn it on. TempoLife asks for it only when you tap Use my location under the restaurant results of the food search — never when you open the app, and never in the background.

What it is used for

To show the restaurant menus that fit where you are: the menu of the country you are in (for example McDonald’s Estonia rather than the UK menu), with restaurants near you listed first.

What happens to your location

• Your device rounds the position to about 100 metres and sends it over HTTPS to our server only while you search.
• Our server uses it for that search and does not store it — not in your account, not in your diary, not in our logs.
• To learn which restaurants are nearby, our server asks the public OpenStreetMap service (Overpass API, run by FOSSGIS e.V., Germany) for the places in the surrounding map square of about 1 km, plus a margin. Only that map square is sent, from our server’s own address, with nothing that identifies you or your exact position.
• The list of restaurants in that map square is map data, not data about you. We keep it for up to 14 days so the next search is fast, and delete it once no one has searched there for 60 days.
• Your device remembers only whether you turned the feature on or off.

Turning it off

Tap Turn off under the restaurant results, or remove the permission in Android Settings → Apps → TempoLife → Permissions (in a browser: the site settings). Food search keeps working and uses your account’s country instead.

The legal basis is your consent (GDPR Art. 6(1)(a)), which you give by turning the feature on and allowing the permission, and which you can withdraw at any time as described above. Map data © OpenStreetMap contributors (ODbL).

Wie wir die Daten verwenden (Zweck und Rechtsgrundlage)

Lebensmittelsuche: Wenn Sie nach einem Lebensmittel suchen, speichern wir den von Ihnen eingegebenen Text (bis zu 120 Zeichen), die Sprache der App, wie viele Ergebnisse aus unserer eigenen Lebensmitteldatenbank und wie viele aus der Datenbank verpackter Produkte stammten, sowie ob Sie innerhalb der folgenden 15 Minuten ein Lebensmittel gespeichert haben. Dies dient einem einzigen Zweck: die Suchen zu finden, die ohne Ergebnis bleiben, damit wir sie beheben können. Der Datensatz ist mit Ihrem Konto verknüpft, wird nicht an Google Analytics oder einen anderen Dritten gesendet und niemals für Werbung oder Profiling verwendet. Rechtsgrundlage ist unser berechtigtes Interesse an einer Lebensmittelsuche, die tatsächlich Lebensmittel findet (DSGVO Art. 6 Abs. 1 lit. f); Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, über den Kontakt in Abschnitt 12 Widerspruch einlegen. Die Datensätze werden nach 90 Tagen automatisch gelöscht, bei Bearbeitung eines Kontolöschungsantrags sofort entfernt und sind bis zur Löschung im Datenexport der Nutzerin bzw. des Nutzers enthalten.

TempoLife verwendet Ihre Daten niemals für Werbung, Profiling oder den Verkauf an Dritte. Dies gilt insbesondere für Gesundheits- und Fitnessdaten aus Android Health Connect, die niemals für Werbung verwendet, niemals an Werbenetzwerke oder Datenhändler weitergegeben und niemals verkauft werden.

Kein Medizinprodukt

TempoLife ist eine allgemeine Wellness- und Lifestyle-App. Sie ist kein Medizinprodukt und nicht dazu bestimmt, Krankheiten oder gesundheitliche Zustände zu diagnostizieren, zu behandeln, zu heilen oder zu verhüten.

Alles, was die App anzeigt — Trends, Punktwerte, KI-generierte Zusammenfassungen und Coaching-Vorschläge sowie jeder aus Health Connect oder einem verbundenen Tracker gelesene Wert — dient ausschließlich der allgemeinen Information und der Selbstbeobachtung. Es handelt sich nicht um medizinischen Rat; darauf darf weder für Diagnose oder Behandlung noch für das Beginnen, Beenden oder Ändern einer Medikation oder Therapie vertraut werden.

Werte wie Kalorien- und Nährstoffschätzungen aus der Fotoerkennung, Schlafphasen und Herzfrequenzmessungen stammen von Verbrauchersensoren und automatisierten Modellen und können ungenau sein. Wenden Sie sich für medizinischen Rat, Diagnose oder Behandlung stets an qualifiziertes medizinisches Fachpersonal. Rufen Sie im Notfall Ihre örtliche Notrufnummer an (112 in der EU) — verlassen Sie sich nicht auf diese App.

Auftragsverarbeiter

Ihre Daten dürfen ausschließlich von den folgenden Dienstleistern verarbeitet werden, mit denen wir Auftragsverarbeitungsverträge (AVV) geschlossen haben:

Essensfotos werden nur für die jeweilige Anfrage an Google Gemini AI (oder ersatzweise Anthropic Claude AI) gesendet und danach beim Anbieter gelöscht. Über den gewöhnlichen KI-Ablauf in der App ausgewählte Fotos werden nicht auf unseren Servern gespeichert. Ausnahmen sind das gesondert eingewilligte JPEG für das öffentliche Archiv nach Abschnitt 2e sowie ein metadatenfreies temporäres JPEG der optionalen PWA-Teilen-Funktion: Letzteres wird nur für die Übergabe vorgehalten, nicht automatisch an eine KI gesendet und in weniger als 10 Minuten oder unmittelbar nach dem einmaligen Abruf gelöscht. EXIF-/GPS-Metadaten werden entfernt.

Aus Android Health Connect gelesene Daten (Schritte, Schlaf, Körpergewicht, Herzfrequenz, Ruheherzfrequenz, HRV und Workouts) werden in Ihrem TempoLife-Konto auf unseren eigenen Servern in Estland gespeichert. Sie werden niemals an Werbenetzwerke, Werbeplattformen, Datenhändler oder Informationsweiterverkäufer weitergegeben und niemals verkauft. Wenn Sie die optionalen KI-Funktionen nutzen — etwa den KI-Coach oder eine Trendzusammenfassung — können die zur Beantwortung dieser konkreten Anfrage erforderlichen Werte auf Grundlage Ihrer Einwilligung ausschließlich für diese Anfrage an den oben genannten KI-Anbieter gesendet werden. Sie werden niemals für die eigenen Zwecke des Anbieters und niemals für Werbung übermittelt.

Internationale Datenübermittlungen

Einige Dienste (Google Gemini, Anthropic Claude, ElevenLabs) haben ihren Sitz in den Vereinigten Staaten. Daten werden nur auf Grundlage der von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC), des EU-US Data Privacy Framework oder anderer Garantien nach Kapitel V der DSGVO übermittelt.

Mit dem Klick auf „Ich stimme zu“ im Dialog des KI-Dienstes erteilen Sie Ihre ausdrückliche Einwilligung in eine solche Übermittlung (DSGVO Art. 49 Abs. 1 lit. a).

Speicherdauer

Ihre Daten werden nur so lange gespeichert, wie es für die Erbringung des Dienstes erforderlich ist:

• Aktives Konto: Kontodaten werden bis zur Löschung gespeichert, sofern diese Erklärung keine kürzere Frist vorsieht
• Kontolöschung (DSGVO Art. 17): personenbezogene Daten werden sofort anonymisiert; zugehörige Protokolle werden innerhalb von 30 Tagen vollständig gelöscht
• Server-Logs (IP, UA): max. 90 Tage
• E-Mail-Bestätigungscodes: 15 Minuten oder bis zur Verwendung
• Magic-Link-Zugangsdaten: der Link gilt 15 Minuten; die Zeile mit E-Mail-Adresse und Token-Hash wird bei Verwendung, Ersetzung oder innerhalb einer Minute nach Ablauf gelöscht
• Temporäres, über die PWA geteiltes Essensfoto: weniger als 10 Minuten oder bis zum einmaligen Abruf, je nachdem, was zuerst eintritt
• Anthropic-KI-Anfragen: 30 Tage auf den Servern von Anthropic, danach automatisch gelöscht (gemäß Anthropic-AVV)
• Standort (optionale Restaurantsuche): nicht gespeichert — nur während der Suche verwendet; die Restaurantliste je Kartenquadrat von etwa 1 km wird bis zu 14 Tage vorgehalten und enthält keine Nutzerdaten (siehe Abschnitt 2g)

Sicherheit

TempoLife wendet technische und organisatorische Maßnahmen zum Schutz Ihrer Daten an (DSGVO Art. 32):

• Gesamter Datenverkehr über HTTPS/TLS 1.2+
• Passwörter als bcrypt-Hashes gespeichert — niemals im Klartext
• CSRF-Token-Schutz bei allen ändernden Anfragen
• Content Security Policy (CSP), HSTS, X-Frame-Options: DENY
• Android: ausschließlich offizieller Play-Store-Build, mit Keystore SHA-256 signiert
• Datenbank (PostgreSQL) in der EU (Estland) gehostet; Backups verschlüsselt
• Cloud-Backup des Android-Geräts DEAKTIVIERT (android:allowBackup="false")

Ihre Rechte

Nach der DSGVO stehen Ihnen die folgenden Rechte zu, die Sie direkt in der App (Profil → Datenschutz) oder per E-Mail an info@tempolife.app ausüben können:

• Auskunftsrecht (Art. 15) — Sie können alle Ihre Daten in der App einsehen
• Recht auf Berichtigung (Art. 16) — Profilfelder jederzeit bearbeiten
• Recht auf Löschung (Art. 17) — E-Mail an info@tempolife.app
• Recht auf Einschränkung der Verarbeitung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20) — die Schaltfläche „Meine Daten herunterladen“ liefert ein ZIP mit JSON-Exporten
• Widerspruchsrecht (Art. 21)
• Recht auf Widerruf der Einwilligung (Art. 7) — eine Integration oder aggregierte Einstellung deaktivieren oder eine öffentliche Karte bzw. ein Vergleichspaar entfernen; eine Kontolöschung ist dafür nicht erforderlich
• Beschwerderecht — Estnische Datenschutzinspektion: www.aki.ee

So löschen Sie Ihr Konto

TempoLife beachtet Artikel 17 DSGVO (Recht auf Löschung). Um Ihr Konto zu löschen, senden Sie eine E-Mail von der mit Ihrem Konto verknüpften Adresse an info@tempolife.app. Wir löschen das Konto innerhalb von 30 Tagen.

Was mit Ihren Daten geschieht

• Nach der Bearbeitung: Ihre E-Mail-Adresse, Ihr Name, Ihr Profilfoto und alle personenbezogenen Merkmale werden in der Datenbank anonymisiert (z. B. deleted_12345_1714@deleted.tempolife). Ihre Sitzung wird beendet. Eine Anmeldung ist nicht mehr möglich.
• Innerhalb von 30 Tagen: alle Ihre personenbezogenen Gesundheitsdaten (Schritte, Schlaf, Stimmung, Fastensitzungen, Ernährungsprotokolle usw.) werden zusammen mit Altdatensätzen aus entfernten Funktionen endgültig gelöscht.
• Nach 30 Tagen: es verbleibt nichts Identifizierbares über Sie, mit Ausnahme anonymisierter Aggregatstatistiken und gesetzlich vorgeschriebener Prüfprotokolle (IP und E-Mail werden nach 30 Tagen entfernt).

Cookies und lokaler Speicher

TempoLife nutzt standardmäßig nur den Speicher, der für den Betrieb des Dienstes erforderlich ist. Die Werbe- und Analysemessung umfasst Google Analytics 4 (anonyme Seitenaufrufe und Produkt-Funnel-Ereignisse), Google-Ads-Klick- und Kampagnenkennungen, die bis zu 90 Tage gespeichert werden, sowie eine vor der Registrierung gemessene App-Öffnung mit einer zufälligen pseudonymen Kennung. Sie ist standardmäßig aktiviert auf Grundlage unseres berechtigten Interesses zu messen, welche Kampagnen zu Registrierungen führen, und Sie können sie jederzeit in den Messeinstellungen deaktivieren; die oben genannten Kennungen werden dann entfernt. Der App-Öffnungsdatensatz (Plattform, eingeschränkter User-Agent, erste/letzte Öffnung und Anzahl) wird spätestens 90 Tage nach der letzten Öffnung gelöscht. Werbepersonalisierung bleibt stets deaktiviert. Sie können diese Wahl jederzeit in den Messeinstellungen ändern.

• PHPSESSID — Sitzungskennung (HttpOnly, Secure, SameSite=Lax)
• tempolife_ad_consent + tempolife_ad_consent_uid — Ihre Messeinstellung und deren Kontobindung, die verhindert, dass eine Wahl auf einem gemeinsam genutzten Gerät auf ein anderes Konto übergeht
• Google-Ads-Klick-, UTM- und Messkennungen (_gcl_* / _ga*) — nur bei aktivierter Messung, bis zu 90 Tage; dienen der Zuordnung einer Kontoregistrierung und werden beim Deaktivieren der Messung entfernt
• tl_device (bis zu 365 Tage) und tl_dseen (30 Minuten) — nur bei aktivierter Messung, für die pseudonyme Messung von App-Öffnungen vor der Registrierung; werden nach der Kontoverknüpfung oder beim Deaktivieren der Messung entfernt
• Google Analytics 4 — anonyme Seitenaufrufe und Produkt-Funnel-Ereignisse, standardmäßig aktiv (Werbepersonalisierung deaktiviert)
• Nutzungstelemetrie angemeldeter Konten — Sitzungsdauer und besuchte Bildschirme für angemeldete Konten (keine Gäste), zum Betrieb und zur Verbesserung des Produkts; Erstanbieterdaten, 90 Tage, niemals an Google Analytics gesendet
• localStorage — Design, Sprache, Einwilligungskennzeichen
• Service Worker — Offline-Unterstützung und Cache

Datenschutz von Kindern

TempoLife richtet sich an Nutzerinnen und Nutzer ab 16 Jahren. Personen unter 16 Jahren dürfen ohne Einwilligung der Eltern bzw. Erziehungsberechtigten kein Konto anlegen. Erfahren wir, dass wir ohne wirksame Einwilligung Daten einer Person unter 16 Jahren erhoben haben, löschen wir diese unverzüglich.

Änderungen dieser Erklärung

Bei wesentlichen Änderungen dieser Datenschutzerklärung informieren wir Sie mindestens 14 Tage vor Inkrafttreten in der App (Banner oder E-Mail). Die weitere Nutzung nach der Änderung gilt als Zustimmung.

Frühere Fassungen sind auf GitHub archiviert.

Kontakt

• E-Mail: info@tempolife.app
• Website: tempolife.app

Aufsichtsbehörde: Estnische Datenschutzinspektion — www.aki.ee