Datenschutzerklärung — PocketSana – Meine Gesundheitsdaten

Stand: 19. Oktober 2026

Gemeinsame Fassung für Android und iPhone. Die für Android geltenden Teile entsprechen inhaltlich der Fassung der Android-Version mit Stand vom 19. Oktober 2026.

1. Kurzfassung

Diese Erklärung gilt für die Android-Version und für die iPhone-Version von PocketSana. Wo sich die beiden unterscheiden, ist das mit Android bzw. iPhone gekennzeichnet; alles andere gilt für beide.

PocketSana speichert alle von dir eingegebenen Gesundheitsdaten ausschliesslich lokal und verschlüsselt auf deinem Gerät (zu den Ausnahmen — dem unverschlüsselten Einstellungsspeicher, den kurzlebigen Arbeitskopien im App-Cache sowie auf dem iPhone den bereits geplanten Erinnerungstexten, die iOS bis zur Anzeige verwahrt — siehe Abschnitte 4.1 und 4.7). Es gibt keinen Server, kein Online-Konto bei uns (Profile und PIN richtest du nur lokal auf deinem Gerät ein), keine Cloud-Synchronisation und keine Übertragung deiner Gesundheitsdaten an uns oder Dritte. Die App enthält keine von uns eingebaute Analyse-/Tracking-Software und keine Werbung. Wir haben faktisch keinen Zugriff auf deine Daten — wir können sie nicht einsehen, nicht auswerten und nicht löschen. Die Kontrolle liegt vollständig bei dir. Für deine Einträge sind wir deshalb kein Verantwortlicher im datenschutzrechtlichen Sinn: Du führst sie in deinem persönlichen Bereich, so wie ein Notizbuch oder eine Tabelle auf deinem eigenen Gerät (Abschnitt 2).

Für die wenigen Daten, die wir selbst verarbeiten (Abschnitt 2, zweiter Absatz), stehen dir die Rechte nach Abschnitt 15.1 zu. Den Verarbeitungen, die wir auf unser berechtigtes Interesse stützen, kannst du widersprechen (Abschnitt 15.3).

Android: Die einzige Internetverbindung, die wir selbst auslösen, ist die Kauf- und Berechtigungsprüfung des PocketSana-Premium-Abos über Google Play (Abschnitte 9 und 14). Die enthaltenen Google-Bibliotheken — Play Billing für das Abo und ML Kit für die Texterkennung, die vollständig auf dem Gerät läuft — bringen eigene Diagnosekomponenten mit; die uns bekannten Übertragungswege haben wir in der App unterbunden und das am ausgelieferten Programmcode geprüft (Abschnitt 5). Gesundheitsdaten sind in keinem Fall betroffen.

iPhone: Unser eigener Code enthält in der iPhone-Version keine Netzwerkaufrufe, und die App enthält keine Google-Bibliotheken und keine Analyse-, Werbe- oder Absturzmelde-Software von uns oder von Dritten. Den Kauf, die Verlängerung und die Prüfung des PocketSana-Premium-Abos wickelt Apple über das App-Store-System deines iPhones ab (Abschnitte 4.6 und 9). Die Texterkennung in Dokumenten nutzt die in iOS eingebaute Texterkennung, die auf dem Gerät läuft. Absturzberichte und Nutzungsstatistiken erhält Apple nur, wenn du das in den iOS-Einstellungen selbst erlaubt hast (Abschnitt 5). Gesundheitsdaten sind auch hier in keinem Fall betroffen.

2. Verantwortlicher und Rollenverteilung

Für die Einträge, die du in der App führst, sind wir kein Verantwortlicher. Verantwortlicher ist, wer über Zweck und Mittel einer Datenbearbeitung entscheidet (Art. 4 Nr. 7 DSGVO; Art. 5 lit. j DSG). Bei deinen Einträgen entscheidest allein du, was du erfasst, wozu, wie lange und ob du es jemandem weitergibst; die App speichert sie ausschliesslich verschlüsselt auf deinem Gerät, und wir erhalten sie zu keinem Zeitpunkt — es gibt keinen Server, kein Online-Konto bei uns und keine Übertragung an uns. Wir verfolgen mit deinen Einträgen keine eigenen Zwecke. Führst du die Einträge für dich oder deine Angehörigen, ist das zudem eine rein persönliche Tätigkeit, auf die die Datenschutzgesetze nicht anwendbar sind (Art. 2 Abs. 2 lit. c DSGVO; Art. 2 Abs. 2 lit. a DSG). Nutzt du die App beruflich (z. B. in der Pflege, Nutzungsbedingungen Teil A.2), bist du selbst Verantwortliche:r für die Daten der betreuten Personen und musst die für dich geltenden Datenschutz- und Schweigepflichten einhalten. In beiden Fällen stellen wir dir nur das Werkzeug bereit.

Für die wenigen Verarbeitungen, die wir selbst durchführen — die Einsicht in die Bestell- und Abo-Angaben, die uns Google in der Play Console anzeigt (Bestellnummer, Bestelldatum, Land, Ort und Postleitzahl, Gerätemodell, Betrag und Währung, Abo-Status; keine Zahlungsdaten; für Rückerstattungen, Widerrufe und Buchhaltung), auf dem iPhone die Einsicht in die Verkaufs-, Abo- und Auszahlungsberichte, die uns Apple in App Store Connect bereitstellt (für die Buchhaltung), die Beantwortung von Support-Anfragen an uns (einschliesslich Widerrufserklärungen per E-Mail) und von öffentlichen Bewertungen im Store (Abschnitt 7), auf dem iPhone die Abwicklung einer Erstattung, die wir nach den Nutzungsbedingungen (Teil A.9, B.2 und B.3) selbst leisten (Name, Apple-Kaufbeleg und die für den vereinbarten Zahlungsweg nötigen Angaben, etwa eine Bankverbindung), sowie die Prüfung deines Abo-Status durch die App auf deinem Gerät (Abschnitt 4.6; dabei erhalten wir keine Daten) —, ist PocketSana Felbar (Einzelunternehmen, Inhaber Daniel Felbar), Salamanderweg 1, 7320 Sargans, Schweiz, UID CHE-485.068.824, E-Mail: contact.pocketsana@gmail.com, verantwortlich. Die Berichte von Apple enthalten zusammengefasste Zahlen (z. B. Anzahl Käufe und Verlängerungen je Land und Zeitraum); Namen, Apple Account, E-Mail-Adresse, Anschrift oder Zahlungsdaten der Käuferinnen und Käufer erhalten wir von Apple nicht. Die Abo-Abwicklung selbst (Kauf, Zahlung, Verlängerung, Rechnung) führt auf Android Google und auf dem iPhone Apple durch (Abschnitt 9). Weil wir keine Niederlassung in der EU haben, die App dort aber anbieten, haben wir nach Art. 27 DSGVO einen Vertreter in der EU benannt: Stefan Felbar, Hasenfeldstrasse 70, 6890 Lustenau, Österreich, E-Mail: info@prodacts.at. Du und die Aufsichtsbehörden könnt euch für alle Fragen zu diesen Verarbeitungen auch an ihn wenden; er leitet Anfragen an uns weiter und wirkt an der Beantwortung mit.

3. Welche Rechtsordnungen gelten und warum

Die Grundsätze (Abschnitte 4–15) gelten einheitlich; die Abschnitte 16–21 fassen zusammen, was zusätzlich je nach deinem Aufenthaltsort gilt.

Die nachfolgend genannten Gesetze gelten für die von uns durchgeführten Verarbeitungen (Abschnitt 2, zweiter Absatz), nicht für deine Einträge in der App, die wir nicht erhalten; zu US-Regeln, die an die App selbst anknüpfen, siehe Abschnitt 19.

• Schweizer DSG — gilt, weil der Anbieter Wohnsitz in der Schweiz hat. Zusätzliche Punkte: Abschnitt 16.
• EU-DSGVO — gilt zusätzlich über das Marktortprinzip (Art. 3 Abs. 2 lit. a DSGVO), weil die App in EU-/EWR-Ländern angeboten wird. Zusätzliche Punkte: Abschnitt 17.
• Vereinigtes Königreich, USA, Kanada, Australien, Neuseeland, Singapur — für den Fall, dass die App dort angeboten wird: Abschnitte 18–21.

Sprachfassung dieser Erklärung: Übersetzungen in weitere Sprachen dienen nur der Information. Bei Widersprüchen zwischen Sprachfassungen ist die deutsche Fassung massgeblich (zu Québec siehe Abschnitt 20).

4. Welche Daten die App speichert und wo sie liegen

4.1 Gesundheits- und Vitaldaten

Du erfasst und verwaltest in der App: Vitalwerte, Symptom-/Verlaufsjournale, Medikamente, Termine, Dokumente und Fotos (z. B. Befunde, Rezepte), Notfallausweis-/Patientenverfügungsdaten. Dazu gehören auch zwei besonders sensible Journale: Menstruationszyklus (reproduktive Gesundheit; in der App «Zyklustracker») und Substanzkonsum (z. B. Alkohol, Tabak, Drogen; in der App «Suchtmittel-Tracking»).

Darüber hinaus speichert die App auf deinem Gerät: Profil-Stammdaten (Name, Geburtsdatum, Blutgruppe, Allergien, Grösse, Profilfoto, freitextliche Notfallkontakte und Hausarzt-Angaben — ggf. Personendaten Dritter); weitere Journale (Stimmung/Energie, Stuhlgang/Urin, Stürze, Spital-/Therapieaufenthalte, Laborwerte, Apparaturen/Katheter, Hilfsmittel, Körperpflege, Vorsorge); sowie der per Texterkennung aus Dokumenten (Bild/PDF, bis 30 Seiten) ausgelesene Volltext, der zur Suche verschlüsselt in der Datenbank gespeichert wird.

• Wo: ausschliesslich in einer verschlüsselten Datenbank sowie verschlüsselten Dateien auf deinem Gerät. Die Datenbank ist mit AES-256 verschlüsselt (SQLCipher). Der eigentliche Datenbankschlüssel ist ein zufällig erzeugter Schlüssel. Er wird seinerseits mit einem aus deiner PIN abgeleiteten Hüllschlüssel verschlüsselt gespeichert (Ableitung per PBKDF2). Ohne deine PIN lässt sich diese Hülle nicht öffnen und damit auch der Datenbankschlüssel nicht gewinnen. Aktivierst du die biometrische Entsperrung, legt die App eine zweite Hülle des Datenbankschlüssels an. Android: Sie ist mit einem Schlüssel im Android Keystore verschlüsselt, den das Gerät nur nach einer erfolgreichen biometrischen Prüfung freigibt. iPhone: Sie ist mit einem Schlüssel im iOS-Schlüsselbund verschlüsselt, den iOS nur nach einer erfolgreichen Prüfung mit Face ID bzw. Touch ID freigibt. Auf beiden Plattformen ist das ein zweiter, alternativer Zugangsweg neben der PIN, kein zusätzlicher Schutz. Hinweis: Für Kameraaufnahmen, das Ansehen von Dokumenten/PDFs und den PDF-Export entstehen technisch bedingt kurzzeitige, automatisch wieder gelöschte unverschlüsselte Arbeitskopien im App-Cache — Details und die genauen Löschfristen dazu in Abschnitt 4.7.
• Nicht verschlüsselt: Neben der verschlüsselten Datenbank führt die App einen gewöhnlichen, unverschlüsselten Einstellungsspeicher im App-eigenen, vor anderen Apps geschützten Verzeichnis. Darin liegen keine Messwerte und keine Journaleinträge, sondern Einstellungen und Anzeigemerkposten, z. B. welche Journale und Vitalwert-Arten angezeigt werden, voreingestellte Einnahmezeiten, Blutzucker-Einheit, Trinkziel, zuletzt gewählte Filter, die Option “Diskrete Erinnerungen”, Angaben zum Health-Connect-Import (Zielprofil als interne Nummer, Import-Zeitstempel je Datentyp, Zusammenfassung des letzten Imports mit Anzahlen; auf dem iPhone dieselben Angaben für den Import aus Apple Health) sowie auf Android die Zeitpunkte der für die nächsten sieben Tage eingeplanten Medikamenten-Erinnerungen und die internen Nummern der Termine mit Erinnerung (ohne Medikamentennamen oder Termininhalte). Auf dem iPhone legt die App solche Angaben nicht im Einstellungsspeicher ab; zu den Erinnerungen, die iOS bis zur Anzeige verwahrt, siehe Abschnitt 4.7. Daraus lässt sich ablesen, welche Journale du nutzt — auch, ob du die besonders sensiblen Journale Menstruationszyklus und Substanzkonsum verwendest —, nicht aber, was darin steht. Wer Zugriff auf das geschützte App-Verzeichnis hat (z. B. auf einem entsperrten oder gerooteten Gerät), kann diese Angaben ohne deine PIN lesen. iPhone: Einige wenige Grundeinstellungen — die gewählte Sprache, die Option “Diskrete Erinnerungen” und der Zähler für falsche PIN-Eingaben — speichert die App im Einstellungsspeicher von iOS, ebenfalls unverschlüsselt im App-eigenen Bereich. Die Datenbank, die Schlüsseldateien, die Dokumente und diese Einstellungen sind zusätzlich durch den Dateischutz von iOS an deinen Gerätecode gebunden, sofern auf deinem iPhone ein Gerätecode eingerichtet ist.
• Übertragung: durch unseren eigenen Code findet nicht statt. Näheres zur Reichweite dieser Aussage in den Abschnitten 9 und 14.
• Zweck: ausschliesslich deine eigene Dokumentation — den Zweck bestimmst du, nicht wir. Wir werten diese Daten nicht aus, klassifizieren sie nicht und erhalten sie nie zu Gesicht. Die einfachen Statistiken, die dir die App anzeigt (z. B. Durchschnitte, Minimum/Maximum, Einnahmetreue, BMI), sind rein rechnerische Zusammenfassungen deiner eigenen Einträge, keine medizinische Auswertung und keine Bewertung.

4.2 Ernährungs- und Aktivitätsdaten

Von dir manuell erfasste Ernährungs- und Aktivitätseinträge (z. B. Getränke, Kalorien sowie selbst erfasste Trainingseinheiten mit Aktivitätsart, Dauer, optional Strecke und Notiz). Diese Einträge werden lokal gespeichert (Speicherung und Schutz wie Abschnitt 4.1) — im Unterschied zu den aus Health Connect bzw. Apple Health nur angezeigten Sportwerten (Abschnitte 4.3 und 4.3a).

4.3 Health-Connect-Importe (Android, optional, nur nach deiner Freigabe)

Wenn du die Health-Connect-Anbindung aktivierst, liest die App die von dir einzeln freigegebenen Messwerte aus der lokalen Health-Connect-Datenbank deines Geräts:

• Puls, Sauerstoffsättigung (SpO2), Körpertemperatur, Schlaf, Blutdruck, Schritte, Trainingseinheiten, VO2max, Ruhepuls, Herzfrequenzvariabilität (HRV) und aktive Kalorien.

Diese Kommunikation läuft ausschliesslich lokal auf dem Gerät über die geräteinterne Schnittstelle von Health Connect, nicht über das Internet. Die App schreibt nie Daten nach Health Connect zurück (nur Lesezugriff). Puls, SpO2, Temperatur und Blutdruck übernimmt sie – wenn du in den Einstellungen auf «Jetzt importieren» tippst oder, falls aktiviert, automatisch bei jedem Entsperren – als Stundenmittelwert in deine Vitalwerte, Schlaf als einzelne Nächte samt Schlafphasen in das Schlaf-Journal. Beim ersten Import übernimmt die App höchstens die Werte der letzten 30 Tage. Weil viele Uhren Messwerte verzögert liefern, liest die App bei jedem Import die jüngste Zeit erneut ein und ersetzt dabei unbearbeitete importierte Werte; ein gelöschter importierter Wert kann so erneut erscheinen. Schritte, Trainingseinheiten, VO2max, Ruhepuls, HRV und aktive Kalorien werden nur angezeigt, nie gespeichert. Übernommene Werte werden wie alle anderen Gesundheitsdaten lokal verschlüsselt gespeichert (Abschnitt 4.1).

Bevor du den Import zum ersten Mal aktivierst, fragt dich die App in den Einstellungen gesondert um Zustimmung, noch vor dem Berechtigungsdialog von Health Connect. Diese Zustimmung schaltet die Funktion frei; sie ist keine Einwilligung in eine Verarbeitung durch uns, denn auch die importierten Werte erreichen uns nicht. Vor deiner Zustimmung liest die App keine Daten aus Health Connect; sie fragt nur ab, ob Health Connect verfügbar ist und welche Berechtigungen du erteilt hast.

Was wir mit Daten aus Health Connect nie tun: Wir erhalten sie nicht, und niemand bei uns kann sie einsehen. Die App gibt sie nicht von sich aus weiter — weder an uns noch an Dritte; nur wenn du selbst ein Backup oder einen PDF-Export erstellst und weitergibst, verlassen sie auf deine ausdrückliche Veranlassung zusammen mit deinen übrigen Einträgen das Gerät (Abschnitt 4.5). Sie werden nur für die von dir aktivierte Anzeige und Übernahme in deine eigenen Einträge verwendet — nicht für Werbung (auch nicht personalisierte), Marketing oder Profilbildung, nicht zur Beurteilung der Kreditwürdigkeit oder für Kreditvergaben und nicht in Verbindung mit einem Medizinprodukt (PocketSana ist keines, siehe Nutzungsbedingungen Teil C). Sie werden weder verkauft noch von der App an Werbeplattformen, Datenhändler oder sonstige Dritte übermittelt. Die Nutzung entspricht der Google-Play-Richtlinie zu Health-Connect-Berechtigungen einschliesslich ihrer Anforderungen zur eingeschränkten Nutzung («Limited Use»). Wie du die Berechtigungen entziehst und importierte Werte löschst, steht in Abschnitt 15.2.

4.3a Apple-Health-Importe (iPhone, optional, nur nach deiner Freigabe)

Wenn du den Import aktivierst, liest die App die von dir einzeln freigegebenen Werte über die iOS-Schnittstelle HealthKit aus Apple Health:

• Puls, Sauerstoffsättigung, Körpertemperatur (samt Messort, sofern in Apple Health hinterlegt), Schlaf (mit Schlafphasen, soweit vorhanden), Blutdruck, Schritte, Trainingseinheiten, VO2max, Ruhepuls, Herzfrequenzvariabilität (SDNN) und aktive Energie (Kalorien).

Das läuft ausschliesslich auf deinem Gerät, nicht über das Internet. Die App schreibt nie Daten in Apple Health (sie fragt keine Schreibberechtigung an), liest nicht im Hintergrund und nutzt keine klinischen Gesundheitsakten. Übernahme, Zeitfenster, Stundenmittelwerte, Schlaf und die nur angezeigten Werte folgen denselben Regeln wie in Abschnitt 4.3 für Health Connect beschrieben. Übernommene Werte werden wie alle anderen Einträge verschlüsselt gespeichert (Abschnitt 4.1). Deine Freigaben prüfst und änderst du jederzeit in der Health-App bzw. in den iOS-Einstellungen beim Eintrag für PocketSana.

Was wir mit Daten aus Apple Health nie tun: Wir erhalten sie nicht, und niemand bei uns kann sie einsehen. Die App gibt sie nicht von sich aus weiter — weder an uns noch an Dritte; nur wenn du selbst ein Backup oder einen PDF-Export erstellst und weitergibst, verlassen sie auf deine ausdrückliche Veranlassung zusammen mit deinen übrigen Einträgen das Gerät (Abschnitt 4.5). Sie werden nur für die von dir aktivierte Anzeige und Übernahme in deine eigenen Einträge verwendet — nicht für Werbung (auch nicht personalisierte), Marketing, Profilbildung oder Auswertungen deines Nutzungsverhaltens, nicht zur Beurteilung der Kreditwürdigkeit oder für Kreditvergaben und nicht in Verbindung mit einem Medizinprodukt (PocketSana ist keines, siehe Nutzungsbedingungen Teil C). Sie werden weder verkauft noch von der App an Werbeplattformen, Datenhändler oder sonstige Dritte übermittelt und nicht in iCloud gespeichert (zu einem Backup, das du selbst in iCloud Drive ablegst, siehe Abschnitt 4.5). Die Nutzung entspricht den Vorgaben von Apple für HealthKit (App-Store-Richtlinie 5.1.3). Wie du die Freigaben entziehst und importierte Werte löschst, steht oben und in Abschnitt 15.2.

Wie auf Android fragt die App dich um eine eigene Zustimmung zur Aktivierung des Imports, bevor iOS den Freigabedialog von Apple Health zeigt. Für diese Zustimmung gilt das in Abschnitt 4.3 Gesagte entsprechend.

4.4 Zugangsdaten: PIN und Biometrie

• Deine PIN wird nicht im Klartext gespeichert, sondern ausschliesslich zur Schlüsselableitung verwendet (siehe 4.1).
• Wenn du die biometrische Entsperrung (Fingerabdruck/Gesicht) aktivierst, gelangen die biometrischen Rohdaten nie in die App und verlassen das Betriebssystem nicht: Die Erkennung läuft über die Biometrie-Funktion des Betriebssystems; der Schlüssel liegt auf Android im Android Keystore, auf dem iPhone im Schlüsselbund (Keychain, siehe 4.4a). Die App erhält ausschliesslich ein Erfolgs-/Misserfolgs-Signal (“entsperrt” / “nicht entsperrt”), niemals Fingerabdruck- oder Gesichtsdaten selbst.

4.4a Face ID und Touch ID (iPhone)

Wenn du die Entsperrung mit Face ID oder Touch ID einschaltest, prüft iOS dein Gesicht bzw. deinen Fingerabdruck. Die biometrischen Daten verarbeitet Apple in einem besonders geschützten Bereich des Geräteprozessors (Secure Enclave); weder die App noch wir erhalten sie. Die App erfährt nur, ob die Prüfung gelungen ist. Ist sie gelungen, gibt iOS der App einen zufällig erzeugten Schlüssel aus dem iOS-Schlüsselbund frei, mit dem die App den Datenbankschlüssel entschlüsselt. Dieser Schlüssel gilt nur auf diesem Gerät; er wird nicht mit iCloud synchronisiert und nicht auf ein anderes Gerät übertragen.

Die PIN bleibt jederzeit möglich. Der Rückgriff auf den Gerätecode deines iPhones ist in der App ausgeschaltet: Wer deinen Gerätecode kennt, kann PocketSana damit nicht entsperren.

4.4b Schlüsselbund (iPhone)

Neben dem Schlüssel für Face ID/Touch ID (Abschnitt 4.4a) legt die App im iOS-Schlüsselbund nur folgende Angaben ab: den zuletzt bestätigten Abo-Status und den Zeitpunkt dieser Bestätigung (für die Offline-Gnadenfrist nach den Nutzungsbedingungen, Teil B.1) sowie die höchste bisher gesehene Geräteuhrzeit (Schutz gegen das Zurückstellen der Uhr). Das sind ein Status und Zeitstempel ohne Namen, ohne Gesundheitsdaten und ohne Bezug zu deinem Apple Account. Alle Einträge sind auf «nur dieses Gerät» beschränkt und werden nicht mit dem iCloud-Schlüsselbund synchronisiert.

iOS leert den Schlüsselbund einer App nicht, wenn du die App löschst. Die App löscht deshalb beim ersten Start nach einer Neuinstallation alle Einträge, die eine frühere Installation im Schlüsselbund hinterlassen hat; bis dahin können sie auf dem iPhone verbleiben. Sie enthalten keine Gesundheitsdaten.

4.5 Backups und Exporte

• Ein Backup ist ein ZIP-Archiv, dessen Bestandteile — Datenbank, verschlüsselte PIN-Hülle, Dokumente/Fotos — einzeln verschlüsselt sind. Unverschlüsselt sind darin nur technische Angaben: Dateinamen und -grössen, der signierte Startzeitpunkt der Testphase und die Schemaversion der Datenbank. Ein Backup vom iPhone enthält keinen Startzeitpunkt der Testphase, weil es dort keine lokale Testphase gibt (Abschnitt 4.6). Es wird nur erstellt, wenn du das aktiv auslöst, und nur an einen von dir gewählten Speicherort. Wir selbst erhalten diese Datei nie. Hinweis: Das Backup enthält die PIN-Hülle des Datenbankschlüssels und ist ausschliesslich durch deine PIN geschützt — es gibt keine separate Backup-Passphrase. Wer die Datei besitzt, kann die PIN offline durchprobieren, ohne die Sperr-Fehlversuchsverzögerung der App. Der Schutz hängt deshalb allein an der Länge deiner PIN. Ein Backup lässt sich nur mit der PIN wiederherstellen, die beim Erstellen galt; erstelle nach einem PIN-Wechsel ein neues Backup. Behandle die Backup-Datei wie ein sensibles Dokument.
• Speicherort deiner Backups auf dem iPhone: Den Speicherort wählst du in der Dateiauswahl von iOS, z. B. «Auf meinem iPhone», einen USB-Stick oder einen Cloud-Speicher wie iCloud Drive. PocketSana selbst nutzt iCloud nicht und hat keinen Zugang zu deinem Cloud-Konto. Legst du das Backup in einem Cloud-Speicher ab, speichert der jeweilige Anbieter die (verschlüsselte) Datei nach seinen eigenen Bedingungen; es gilt der Hinweis zur PIN-Länge oben. Für Backup und Wiederherstellung legt die App vorübergehend Dateien in einem App-eigenen Zwischenordner an und löscht sie danach, spätestens beim nächsten App-Start.
• Android: Automatische, systemweite Cloud-Backups sind für diese App auf Systemebene deaktiviert — weder Android-Cloud-Backup noch die “Von altem auf neues Gerät übertragen”-Funktion übertragen App-Daten dieser App.
• iPhone: Die App schliesst ihre Datenbank, die Schlüsseldateien, die Dokumente und ihren Einstellungsspeicher vom iCloud-Backup und vom Backup auf einem Computer aus. Wird ein iPhone aus einem solchen Backup wiederhergestellt, sind deine PocketSana-Daten deshalb nicht dabei. Nicht ausgeschlossen sind nur die in Abschnitt 4.1 genannten, von iOS verwalteten Grundeinstellungen (Sprache, Option “Diskrete Erinnerungen”, Zähler für falsche PIN-Eingaben); sie enthalten keine Gesundheitsdaten. Die Einträge im Schlüsselbund (Abschnitte 4.4a und 4.4b) werden nie auf ein anderes Gerät übertragen. Für einen Gerätewechsel erstellst du selbst ein PocketSana-Backup und stellst es auf dem neuen Gerät wieder her.
• PDF-Exporte und Weitergabe von Dokumenten: Du kannst aus der App zwei Arten von PDFs erzeugen:
  • Notfallausweis: Name, Geburtsdatum, Blutgruppe, Allergien und Unverträglichkeiten, die laufenden Medikamente, eine Statistik deiner Vitalwerte der letzten 7 Tage, Notfallkontakte, Hausarzt-Angaben sowie die als Patientenverfügung abgelegten Dokumente, die vollständig angehängt werden.
  • Arzttermin-Export: Name, Geburtsdatum und die Einträge der von dir gewählten Bereiche im gewählten Zeitraum (standardmässig die letzten 90 Tage). Standardmässig sind alle Bereiche ausgewählt, auch Substanzkonsum und Menstruationszyklus. Wundfotos erscheinen darin nur zusammengefasst, ohne Bilder.

  Zudem kannst du gespeicherte Dokumente weitergeben. Android: Du kannst sie in einer externen App öffnen. iPhone: Die App zeigt Dokumente mit der Vorschau von iOS innerhalb der App an (Abschnitt 4.7). Aus dieser Vorschau kannst du ein Dokument über «Teilen» an eine andere App oder Person weitergeben oder mit «In Dateien sichern» an einem von dir gewählten Ort ablegen. Solche Exporte und Freigaben verlassen die Verschlüsselung der App. Du entscheidest selbst, wohin sie gehen und wer sie erhält; ab dem Moment der Weitergabe liegt ihr Schutz bei dir bzw. bei der empfangenden App oder Person.

4.6 Abo-/Kaufstatus

Android: Läuft vollständig über Google Play Billing (Abschnitte 9 und 14). Zahlungsdaten (Kreditkarte etc.) sehen wir nie, nur die in Abschnitt 2 genannten Bestellangaben in der Play Console. Den zuletzt bestätigten Kaufstatus sowie den Startzeitpunkt der lokalen 14-tägigen Testphase speichert die App zusätzlich verschlüsselt auf dem Gerät; die Testphase selbst läuft rein lokal, ohne Übermittlung, und der Testphasen-Startzeitpunkt liegt zudem im Backup (Abschnitt 4.5).

iPhone: Kauf und Verlängerung laufen vollständig über den App Store von Apple (Abschnitt 9). Wir sehen keine Zahlungsdaten und keine Angaben zu deiner Person, nur die in Abschnitt 2 genannten zusammengefassten Berichte in App Store Connect. Die App fragt beim App-Store-System deines iPhones ab, ob ein gültiges Abo besteht; die von Apple signierte Bestätigung wird auf dem Gerät geprüft und nicht an uns weitergegeben. Die kostenlose Testphase ist auf dem iPhone ein Einführungsangebot des Abos im App Store (Nutzungsbedingungen, Teil B.1); ob du es noch nutzen kannst, erfährt die App ebenfalls nur von iOS. Eine lokale Testphase und einen in der App gespeicherten Testphasen-Beginn gibt es auf dem iPhone nicht. Den zuletzt bestätigten Abo-Status speichert die App im Schlüsselbund (Abschnitt 4.4b).

4.7 Kamera und Erinnerungen

• Kamera: wird nur für Fotos genutzt, die du selbst in der App aufnimmst: für die Fotodokumentation (z. B. Wundverlauf) und dein Profilbild mit Live-Vorschau direkt in der App, auf Android für Dokumente und den Scan deines Medikamentenplans über die Kamera-App deines Geräts (zum iPhone siehe unten). Bei Dokumenten und beim Medikamentenplan-Scan läuft die Texterkennung auf dem Gerät (Abschnitte 4.1 und 5). Hinweis (technisch bedingt): Bei einigen Vorgängen entstehen kurzzeitig unverschlüsselte Arbeitskopien im App-eigenen, vor anderen Apps geschützten Cache-Verzeichnis:
  • Bei einer Aufnahme wird das Bild kurz dort abgelegt, damit es z. B. an die System-Kamera-App oder den Zuschneide-Dialog übergeben werden kann. Anschliessend wird es verschlüsselt gespeichert (als Dokument, Wundfoto oder Profilbild, siehe Abschnitt 4.1), und die Zwischenkopie wird unmittelbar danach gelöscht.
  • Beim Ansehen eines gespeicherten Dokuments/PDFs in einer externen App entsteht eine Klartext-Zwischenkopie, die diese App lesen darf, solange sie das Dokument anzeigt. Die automatische Sperre greift währenddessen frühestens nach 10 Minuten ohne Bedienung von PocketSana, beim Ausschalten des Bildschirms sofort. Mit dem Sperren schliesst PocketSana die externe Anzeige, entzieht die Freigabe und löscht die Kopie; wird PocketSana währenddessen vom System beendet, geschieht das beim nächsten Start. Externe Apps, die das Dokument in einem eigenen Fenster öffnen, kann PocketSana nicht schliessen.
  • Beim PDF-Export entsteht ebenfalls eine solche Zwischenkopie; sie wird beim Sperren oder spätestens beim nächsten App-Start gelöscht.
  • Die Dokumentensuche entschlüsselt zur Texterkennung vorübergehend noch nicht indizierte Dokumente in denselben Cache.
  • Es handelt sich dabei nicht um eine dauerhafte unverschlüsselte Kopie. Diese Zwischenkopien werden beim Sperren und beim App-Start gelöscht. Ausnahme beim App-Start: Kamera-Zwischenbilder, die jünger als 10 Minuten sind, bleiben liegen, damit eine gerade laufende Aufnahme nicht verloren geht, wenn das Betriebssystem die App währenddessen beendet; beim Sperren werden auch sie gelöscht.
  • iPhone: Die vorstehenden Punkte zur Übergabe an die System-Kamera-App und zur Anzeige in einer externen App betreffen nur Android. Dokumente und den Scan deines Medikamentenplans fotografierst du auf dem iPhone mit der Kameraansicht von iOS, die die App selbst öffnet. Auf deine Fotomediathek greift die App nicht zu und braucht dafür keine Berechtigung: Zum Auswählen vorhandener Bilder nutzt sie die Fotoauswahl von iOS, die der App nur das von dir gewählte Bild übergibt. Die App speichert keine Fotos in der Fotos-App. Die Arbeitskopien liegen auf dem iPhone im App-eigenen Zwischenspeicher und werden nach denselben Grundsätzen wie oben beim Sperren der App und beim App-Start gelöscht. Dokumente und PDFs zeigt die App mit der Vorschau von iOS innerhalb der App an, nicht in einer externen App; schliesst du die Vorschau, löscht die App die Kopie sofort, beim Sperren schliesst sie die Vorschau und löscht die Kopie ebenfalls. Gibst du ein Dokument aus der Vorschau weiter oder legst es ab (Abschnitt 4.5), entsteht am gewählten Ziel eine eigene, unverschlüsselte Kopie, die PocketSana weder löschen noch zurückholen kann. Dateien und Bilder, die du über die Datei- oder Fotoauswahl von iOS importierst, legen iOS bzw. die App zunächst als Kopie in einem temporären Ordner der App ab; die App löscht diese Kopie nach dem Import sowie beim Sperren und beim App-Start.
• Bildinformationen (Metadaten): Fotos und Dokumente, die du auswählst oder mit der Kamera-App deines Geräts aufnimmst, speichert die App unverändert, also samt allfälliger Angaben wie Aufnahmezeitpunkt, Gerätemodell oder Aufnahmeort (verschlüsselt, auch im Backup; eine externe App, in der du das Dokument öffnest, erhält sie mit). Den Aufnahmeort wertet die App nicht aus. Direkt in der App aufgenommene Fotos, das Profilbild und die PDF-Exporte enthalten keinen Aufnahmeort. iPhone: Ein Bild aus der Fotoauswahl von iOS übergibt iOS in einer kompatiblen Form (z. B. als JPEG) samt den Bildinformationen, die iOS mitliefert, je nach Foto auch einem Aufnahmeort; die App speichert es so, wie iOS es übergibt. Keinen Aufnahmeort enthalten auf dem iPhone alle Fotos, die du in der App aufnimmst, auch Dokumente und der Medikamentenplan. Gibst du ein Dokument aus der Vorschau weiter oder legst es ab, enthält diese Kopie die Angaben der gespeicherten Datei.
• Benachrichtigungen: werden für Medikamenten- und Termin-Erinnerungen, für die Backup-Erinnerung (auf Android täglich geprüft, auf dem iPhone für den Tag der Fälligkeit im Voraus geplant) sowie für neutrale Hinweise ohne Medikamenten-, Arzt- oder Ortsnamen genutzt (auf Android bei einem Zeitzonenwechsel und nach einem Neustart des Geräts, auf dem iPhone, wenn die geplanten Erinnerungen enden; siehe unten). Eine Medikamenten-Erinnerung kann den Medikamentennamen und die Dosis enthalten, eine Termin-Erinnerung den Zeitpunkt des Termins (auf Android z. B. «Morgen, 08:30»; auf dem iPhone als festes Datum mit Uhrzeit, weil iOS den Text schon beim Planen festlegt), die Fachrichtung, die behandelnde Person und den Ort. Führst du mehrere Profile, kann eine Erinnerung zudem den Vornamen des Profils enthalten. In den Einstellungen kannst du “Diskrete Erinnerungen” einschalten (Standard: aus); dann zeigen Medikamenten- und Termin-Erinnerungen nur einen neutralen Hinweis ohne Vornamen, Medikamenten-, Arzt- oder Ortsnamen. Erkennbar bleiben, ob es sich um eine Medikamenten- oder Termin-Erinnerung handelt, bei Medikamenten die Anzahl und bei Terminen der Zeitpunkt.
  • Android: Erinnerungen plant die App nur beim Entsperren ein, weil die Datenbank vorher nicht lesbar ist (Einzelheiten und Grenzen: Nutzungsbedingungen Teil C). Nach einem Neustart des Geräts oder einem Zeitzonenwechsel kann die App einen neutralen Hinweis ohne Medikamenten-, Arzt- oder Ortsnamen anzeigen; die Datenbank liest sie dafür nicht.
  • Erinnerungen zeigt das Betriebssystem lokal an; einen externen Push-Dienst nutzt die App nicht.
  • Android: Auf einem mit PIN, Muster oder Biometrie gesperrten Gerät zeigt Android Benachrichtigungen von PocketSana gar nicht an. Nach dem Entsperren des Geräts – auch wenn PocketSana selbst noch gesperrt ist – ist ihr Text sichtbar, sofern du keine diskreten Erinnerungen gewählt hast. Ob Android Benachrichtigungen an gekoppelte Geräte (z. B. Smartwatches), einen Benachrichtigungsverlauf oder freigegebene Apps weitergibt, bestimmst du in den Systemeinstellungen.
  • iPhone: Die App plant Erinnerungen als lokale Mitteilungen von iOS. Dabei legt sie Zeitpunkt, Titel und Text jeder Erinnerung schon beim Planen fest und übergibt sie iOS; bis zur Anzeige verwahrt iOS diese Angaben ausserhalb der verschlüsselten Datenbank von PocketSana. Hast du “Diskrete Erinnerungen” eingeschaltet, enthalten sie keine Vornamen, Medikamenten-, Arzt- oder Ortsnamen; nach dem Umschalten plant die App alle Erinnerungen neu.
  • iPhone: Erinnerungen plant die App beim Entsperren und wenn du die entsperrte App wieder in den Vordergrund holst (Einzelheiten und Grenzen: Nutzungsbedingungen Teil C). Enden die geplanten Medikamenten-Erinnerungen, bevor du die App wieder öffnest, kann die App einen neutralen Hinweis ohne Medikamenten-, Arzt- oder Ortsnamen anzeigen.
  • iPhone: Für den gesperrten Bildschirm legt die App einen neutralen Ersatztext fest. Ist in den iOS-Einstellungen bei «Mitteilungen» die Option «Vorschauen zeigen» auf «Wenn entsperrt» (Standard auf iPhones mit Face ID) oder «Nie» eingestellt, zeigt der Sperrbildschirm nur diesen Ersatztext. Hast du «Immer» gewählt, ist der Inhalt auch auf dem gesperrten iPhone sichtbar, sofern du keine diskreten Erinnerungen gewählt hast. Nach dem Entsperren des iPhones – auch wenn PocketSana selbst noch gesperrt ist – ist ihr Text sichtbar, sofern du keine diskreten Erinnerungen gewählt hast. Ob iOS Mitteilungen auf eine gekoppelte Apple Watch spiegelt oder in der Mitteilungszentrale sammelt, bestimmst du in den iOS-Einstellungen.

5. Welche Daten wir NICHT erheben

Durch unseren eigenen Code: keine Nutzungsstatistiken, kein Tracking, keine Werbe-ID-Auswertung (auf Android ist die Werbe-ID-Berechtigung nicht einmal deklariert; auf dem iPhone fragt die App nicht nach der Erlaubnis zum Tracking und liest die Werbe-ID nicht), keine Absturzberichte an einen Drittanbieter, keine Standortdaten (die App fragt keine Standortberechtigung an und ermittelt keinen Standort; zu Ortsangaben in Fotos siehe Abschnitt 4.7), kein Zugriff auf Kontakte/Kalender ausserhalb dessen, was du selbst manuell in ein Journal einträgst.

Google-Bibliotheken (Android): Die für die Texterkennung genutzte Google-Bibliothek ML Kit und die Google-Play-Billing-Bibliothek für das Abo enthalten eine Google-eigene Diagnose-Komponente. Nach Googles Offenlegung würde ML Kit darüber technische Diagnose- und Nutzungsmetadaten an Google senden (Geräteinformationen, App-Paketname und -version, eine installationsbezogene Kennung, Performance-Kennzahlen und Fehlercodes — keine Bild- oder Textinhalte). ML Kit würde diese Daten auf zwei Wegen an Google melden: unmittelbar aus der App (diesen Weg nutzt auch die Diagnose-Komponente der Billing-Bibliothek) und über die Google-Play-Dienste auf deinem Gerät, die solche Meldungen unter ihrer eigenen Kennung weiterleiten. Beide Wege haben wir in der App unterbunden: den ersten — für beide Bibliotheken —, indem die Übertragungskomponente kein Ziel mehr hat und die Daten verwirft, bevor sie gespeichert oder gesendet werden; den zweiten, indem der Meldeaufruf beim Bau der App entfernt wird. Dass beides wirkt, prüfen wir bei jeder Aktualisierung dieser Bibliotheken am fertigen App-Paket. Auch die installationsbezogene Kennung legt ML Kit in der App nicht an. Die Texterkennung selbst läuft vollständig auf deinem Gerät; das dafür nötige Erkennungsmodell ist in der App enthalten und wird nicht nachgeladen.

Google Play (Android vitals, nur Android): Hast du in den Einstellungen deines Geräts das Teilen von Nutzungs- und Diagnosedaten mit Google erlaubt, erfasst Google unabhängig von der App technische Stabilitätsdaten (z. B. Abstürze) in eigener Verantwortung (Datenschutzerklärung). Uns stellt Google davon nur zusammengefasste Statistiken und technische Fehlerberichte ohne Namen, Google-Konto oder App-Inhalte bereit; für uns sind das keine Personendaten.

Texterkennung auf dem iPhone: Die Texterkennung in Dokumenten nutzt die in iOS eingebaute Texterkennung; sie läuft auf dem Gerät, und die App übergibt dafür keine Bilder oder Texte an uns oder Dritte.

Absturzberichte und Statistiken von Apple (iPhone): Hast du in den iOS-Einstellungen das Teilen von Analysedaten mit Apple und mit App-Entwicklern erlaubt, sendet iOS selbst Absturzberichte, technische Kennzahlen und zusammengefasste Nutzungsstatistiken in Apples eigener Verantwortung an Apple (Apple: App-Analyse und Datenschutz). Uns stellt Apple davon nur zusammengefasste bzw. um Personenbezüge bereinigte Daten bereit; für uns sind das keine Personendaten.

6. Einordnung als besonders schützenswerte/besondere Kategorien von Personendaten

Deine Einträge sind Gesundheitsdaten und damit besonders schützenswerte Personendaten bzw. besondere Kategorien personenbezogener Daten (Art. 5 lit. c Ziff. 2 DSG; Art. 9 Abs. 1 DSGVO). Deshalb verschlüsselt die App sie und hält sie nur auf deinem Gerät – auch wenn wir selbst diese Daten nicht verarbeiten (Abschnitt 2). Biometrische Daten erhält die App nicht (Abschnitt 4.4).

7. Zweck der Verarbeitung

Deine Einträge: ausschliesslich deine eigene Dokumentation und persönliche Übersicht — ein Zweck, den du selbst bestimmst. Keine Werbung, keine Profilbildung, kein Verkauf oder Weitergabe an Dritte zu Analyse- oder Marketingzwecken.

Unsere eigenen Verarbeitungen: Einsicht in die Bestell- und Abo-Angaben in der Google Play Console (Rückerstattungen, Widerrufe, Buchhaltung) bzw. in die Berichte von Apple in App Store Connect (Buchhaltung) und Prüfung deines Abo-Status in der App (Abschnitte 4.6, 9); die Abwicklung einer Erstattung, die wir auf dem iPhone selbst leisten (Nutzungsbedingungen, Teil A.9, B.2 und B.3); die Beantwortung deiner Support-Anfragen, wenn du uns per E-Mail schreibst; die Beantwortung öffentlicher Bewertungen im Google Play Store bzw. App Store über die dort vorgesehene Antwortfunktion (wir sehen dabei deinen öffentlichen Anzeigenamen, deine Sternebewertung, deinen Text und das Datum sowie die technischen Angaben, die Google dazu in der Play Console anzeigt, z. B. Gerätemodell, Android- und App-Version und Sprache; im App Store zusätzlich den Titel deiner Bewertung und die Angaben, die Apple dazu in App Store Connect anzeigt, z. B. das Land des Stores). Weitere Zwecke gibt es nicht.

8. Rechtsgrundlage und der Bildschirm beim ersten Start

Für deine Einträge brauchen wir keine Rechtsgrundlage und holen keine Einwilligung ein, weil wir sie nicht verarbeiten (Abschnitt 2).

Der Bildschirm beim ersten Start ist deshalb keine Einwilligung in eine Datenverarbeitung, sondern ein Informations- und Bestätigungsbildschirm. Bei der Ersteinrichtung zeigt die App einen eigenen, nicht überspringbaren Bildschirm, der erklärt, wie die App mit deinen Daten umgeht, und auf diese Datenschutzerklärung und die Nutzungsbedingungen verlinkt. Er enthält zwei Kästchen:

• Du bestätigst, dass du verstanden hast, dass deine Gesundheitsdaten ausschliesslich auf diesem Gerät liegen und unwiederbringlich verloren sein können, wenn du deine PIN vergisst oder kein Backup hast (der Bildschirm erklärt dazu auch, dass wir deine Daten in keinem Fall wiederherstellen können).
• Du akzeptierst die Nutzungsbedingungen, nimmst diese Datenschutzerklärung zur Kenntnis und bestätigst, dass du mindestens 18 Jahre alt bist.

Die App speichert lokal, wann du diese Bestätigung gegeben hast, welche Fassung der Texte dir dabei angezeigt wurde und ob du eine geänderte Fassung der Nutzungsbedingungen abgelehnt hast (dazu Nutzungsbedingungen Teil A.9). Keine der in dieser Erklärung beschriebenen Verarbeitungen beruht auf dieser Bestätigung.

Rechtsgrundlagen für unsere eigenen Verarbeitungen (Abschnitt 2, zweiter Absatz):

• EU/UK: Die Bestell- und Abo-Angaben, die uns Google in der Play Console anzeigt, sehen wir nur ein, soweit das zur Erfüllung unseres Vertrags mit dir nötig ist (Rückerstattungen, Widerrufe), d. h. des Nutzungsvertrags nach unseren Nutzungsbedingungen einschliesslich der dort geregelten Widerrufe und Erstattungen (Teil A.9, B.2, B.3). Das gilt auch dort, wo Google Commerce Limited bzw. Apple Vertragspartnerin des Abo-Kaufs ist. Support-Anfragen, einschliesslich Widerrufserklärungen per E-Mail, verarbeiten wir zur Durchführung dieses Vertrags oder auf deine Anfrage vor einem Vertragsschluss. Leisten wir dir auf dem iPhone eine Erstattung selbst, verarbeiten wir deinen Namen, deinen Apple-Kaufbeleg und die für den vereinbarten Zahlungsweg nötigen Angaben (etwa eine Bankverbindung), um die Erstattung auszuführen. Die App prüft auf deinem Gerät, ob ein gültiges Abo besteht, und speichert das Ergebnis lokal (Abschnitte 4.4b, 4.6), damit sie PocketSana Premium freischalten kann; wir erhalten dabei keine Daten. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. b DSGVO. Support-Anfragen ohne Bezug zu einem Vertrag beantworten wir gestützt auf unser berechtigtes Interesse, Anfragen zu unserer App zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Die Berichte von Apple in App Store Connect enthalten keine Angaben zu deiner Person; soweit sie dennoch Personendaten enthalten sollten, sehen wir sie für die Buchhaltung ein, gestützt auf unser berechtigtes Interesse an einer belegbaren Buchführung (Art. 6 Abs. 1 lit. f DSGVO); dasselbe gilt, soweit wir die Angaben in der Play Console für die Buchhaltung einsehen. Öffentliche Bewertungen im Google Play Store bzw. App Store beantworten wir gestützt auf unser berechtigtes Interesse, auf öffentliche Rückmeldungen zu antworten (Art. 6 Abs. 1 lit. f DSGVO). Gesundheitsangaben, die du in einer Bewertung selbst öffentlich machst, verarbeiten wir nur zur Beantwortung (Art. 9 Abs. 2 lit. e DSGVO). Die zehnjährige Aufbewahrung der Auszahlungs- und Umsatzberichte und der Belege eigener Erstattungen für die Buchhaltung (Abschnitt 11) stützen wir auf unser berechtigtes Interesse, die Aufbewahrungspflicht des Schweizer Buchführungsrechts (Art. 958f OR) zu erfüllen und die Buchführung belegbar zu halten (Art. 6 Abs. 1 lit. f DSGVO; zum Widerspruchsrecht siehe Abschnitt 15.3). Ebenfalls auf unser berechtigtes Interesse, Ansprüche belegen zu können (Art. 6 Abs. 1 lit. f DSGVO), stützen wir die Aufbewahrung von Widerrufserklärungen, die uns per E-Mail erreichen, über das Vertragsende hinaus (Abschnitt 11). Gesundheitsangaben in Support-Anfragen: Bitte schreib uns keine Angaben zu deiner Gesundheit; für Fragen zur App brauchen wir sie fast nie. Schickst du uns trotzdem solche Angaben, nutzen wir sie nicht für unsere Antwort und löschen die Nachricht, sobald deine Anfrage erledigt ist, spätestens 30 Tage nach deren Abschluss (Abschnitt 11). Ist eine Gesundheitsangabe ausnahmsweise für die Antwort nötig, fragen wir dich zuerst, ob du ausdrücklich einverstanden bist, dass wir sie dafür verwenden (Art. 9 Abs. 2 lit. a DSGVO); ohne dein Einverständnis antworten wir ohne sie. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft per E-Mail an contact.pocketsana@gmail.com widerrufen; wir löschen die Angaben dann sofort. Bewahren wir eine Widerrufserklärung als Nachweis auf (Abschnitt 11), behalten wir davon nur die dafür nötigen Angaben (Datum, Name und E-Mail-Adresse, Bestellnummer, Inhalt der Erklärung); Gesundheitsangaben darin löschen wir innerhalb derselben Frist. Kommt es über einen Widerruf oder eine Erstattung zum Streit, bewahren wir die dafür nötigen Angaben auf, solange es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO, für darin enthaltene Gesundheitsangaben Art. 9 Abs. 2 lit. f DSGVO).
• Musst du uns Daten bereitstellen, und was passiert sonst? Für die Nutzung der App musst du uns keinerlei Daten bereitstellen — es gibt weder ein Konto bei uns noch eine Registrierung, und deine Einträge erreichen uns ohnehin nie (Abschnitt 2). Bestellangaben entstehen nur dann, wenn du ein Abo abschliesst; sie fallen im Kaufvorgang bei Google Play bzw. im App Store an und sind für dessen Abwicklung erforderlich (Abschnitt 9). Eine Support-Anfrage an uns ist vollständig freiwillig. Ohne die jeweiligen Angaben können wir eine Rückerstattung oder eine Anfrage allerdings nicht bearbeiten. Auf die App selbst hat das keine Auswirkung: Sie funktioniert unverändert weiter.

9. Empfänger deiner Daten

• Google Play Billing (Android) — Google Commerce Limited (Dublin, Irland): im EWR (einschliesslich Liechtenstein) und im Vereinigten Königreich Verkäuferin des Abos, in der Schweiz Zahlungsabwicklerin als unsere Vertreterin (in den übrigen Ländern Google Commerce Limited oder das dort zuständige Google-Unternehmen). Betreiberin von Google Play selbst ist für Nutzer:innen im EWR und in der Schweiz Google Ireland Limited, in den übrigen Ländern (einschliesslich Vereinigtes Königreich) Google LLC. Erhält den Kaufstatus und den Google-Kontobezug für die Zahlungsabwicklung (keine Gesundheitsdaten) — Rolle: eigenständig Verantwortlicher; Google verarbeitet diese Daten nach eigener Datenschutzerklärung und dem Datenschutzhinweis von Google Payments in eigener Verantwortung. Erreicht uns ein Widerruf direkt, geben wir die dafür nötigen Angaben (Bestellnummer, Datum, Name, soweit genannt) an Google Commerce Limited weiter oder veranlassen die Erstattung und die Beendigung des Abos in der Play Console.
• Apple (App Store, In-App-Kauf; iPhone) — Den Kauf, die Zahlung, die Verlängerung, Rechnungen und Rückerstattungen des PocketSana-Premium-Abos wickelt Apple ab; Verkäuferin des Abos ist in allen Ländern, in denen wir die iPhone-Version anbieten, Apple Distribution International Ltd. (Irland) als Kommissionärin in unserem Auftrag (Nutzungsbedingungen, Teil B.1). Apple verarbeitet dabei deinen Apple Account, Zahlungs- und Kaufdaten, Gerätekennungen und weitere Angaben (keine Gesundheitsdaten) — Rolle: eigenständig Verantwortliche; Apple verarbeitet diese Daten nach ihrer eigenen Datenschutzrichtlinie und der Erklärung App Store & Datenschutz.
• E-Mail-Dienst (Gmail, Google Ireland Limited, Irland) — Unser Postfach contact.pocketsana@gmail.com läuft über Googles E-Mail-Dienst Gmail; darin speichert und übermittelt Google die Support-Anfragen und Widerrufserklärungen, die du uns schreibst. Betreiberin ist Google Ireland Limited; sie verarbeitet die Nachrichten nach ihrer eigenen Datenschutzerklärung in eigener Verantwortung — Rolle: eigenständig Verantwortliche (kein Auftragsbearbeiter nach Art. 9 DSG bzw. kein Auftragsverarbeiter nach Art. 28 DSGVO; einen Auftragsverarbeitungsvertrag mit Google haben wir nicht). Google kann die Nachrichten an Google LLC in die USA übermitteln (Abschnitt 10). Bitte schick uns deshalb keine Angaben zu deiner Gesundheit (Abschnitt 8).
• Unser Vertreter in der EU (Stefan Felbar, Lustenau, Österreich; Abschnitt 2) — erhält Anfragen, die du an ihn richtest oder die über ihn an uns gelangen, und leitet sie an uns weiter — Rolle: Vertreter nach Art. 27 DSGVO.
• Google Play (Bewertungen) — Google betreibt die Bewertungsfunktion (im EWR und in der Schweiz Google Ireland Limited, in den übrigen Ländern einschliesslich Vereinigtes Königreich Google LLC); unsere Antwort auf deine Bewertung veröffentlicht Google öffentlich im Store — Rolle: eigenständig Verantwortlicher.
• App Store (Bewertungen; iPhone) — Apple Distribution International Ltd. (Irland) betreibt die Bewertungsfunktion des App Store in allen Ländern, in denen wir die iPhone-Version anbieten; unsere Antwort auf deine Bewertung veröffentlicht Apple öffentlich im App Store — Rolle: eigenständig Verantwortliche.
• Unsere Bank (Schweiz; iPhone) — erhält, wenn wir dir eine Erstattung selbst per Überweisung leisten, deinen Namen, deine Bankverbindung, den Betrag und den Verwendungszweck; sie verarbeitet diese Angaben als eigenständig Verantwortliche nach Bankenrecht. Vereinbaren wir mit dir einen anderen Zahlungsweg, nennen wir dir den dafür genutzten Zahlungsdienst bei der Abstimmung.

Weitere Empfänger gibt es nicht.

Die App gibt von sich aus nur die Daten weiter, die für die Abo-Abwicklung nötig sind, die Google Play bzw. Apple in eigener Verantwortung durchführen; Gesundheitsdaten gibt sie nie von sich aus weiter. Backups, Exporte und Dokumente, die du teilst oder in einer anderen App öffnest, gehen nur dorthin, wohin du sie selbst schickst (Abschnitt 4.5). Analyse-, Tracking- oder Werbesoftware haben wir nicht eingebaut (zu den Diagnose-Komponenten der Google-Bibliotheken auf Android siehe Abschnitt 5). Wir selbst geben Daten nur an Stellen weiter, die einen gleichwertigen Schutz deiner Daten gewährleisten wie diese Erklärung und die Richtlinien des App Store bzw. von Google Play: Sie haben ihren Sitz in der Schweiz oder in der EU und sind an das DSG bzw. die DSGVO gebunden, oder sie haben ihren Sitz in den USA (etwa Google LLC) bzw. übermitteln dorthin, jeweils auf Grundlage der in Abschnitt 10 genannten Garantien (Data Privacy Framework bzw. Standardvertragsklauseln). An Stellen ohne diesen Schutz geben wir keine Daten weiter.

10. Internationale Datenübermittlung

Support-E-Mails an unsere Gmail-Adresse, die bei der Kaufabwicklung an Google übermittelten Daten und unsere Antworten auf Store-Bewertungen in Google Play kann Google an Google LLC in die USA übermitteln; das liegt in Googles eigener Verantwortung (Abschnitt 9). Google stützt sich dafür nach eigenen Angaben auf das Swiss-U.S. Data Privacy Framework (Angemessenheitsbeschluss des Bundesrats, in Kraft seit 15. September 2024) bzw. das EU-U.S. Data Privacy Framework (Beschluss (EU) 2023/1795, Art. 45 DSGVO) und dessen UK-Erweiterung, an denen Google teilnimmt, ergänzend auf Standardvertragsklauseln (Art. 16 Abs. 2 lit. d DSG; Art. 46 DSGVO).

Auf dem iPhone kann Apple Distribution International Ltd. die im Kaufvorgang anfallenden Daten und unsere Antworten auf Bewertungen im App Store an Apple Inc. in die USA übermitteln; das liegt in Apples eigener Verantwortung (Abschnitt 9). Apple stützt sich dafür nach eigenen Angaben auf Standardvertragsklauseln (Art. 16 Abs. 2 lit. d DSG; Art. 46 DSGVO; Art. 46 UK GDPR).

11. Aufbewahrungsdauer

Deine Einträge: Wie lange sie bestehen bleiben, bestimmst du selbst; die App gibt keine Löschfrist vor (Abschnitt 15.2).

Unsere eigenen Verarbeitungen: Support-E-Mails löschen wir 12 Monate nach der letzten Nachricht der jeweiligen Anfrage, damit wir bei Rückfragen oder wiederkehrenden Problemen auf den bisherigen Austausch zurückgreifen können (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Nachrichten mit Gesundheitsangaben löschen wir früher: sobald die Anfrage erledigt ist, spätestens 30 Tage nach deren Abschluss (Abschnitt 8). Wir prüfen das Postfach dazu mindestens einmal im Monat. Widerrufserklärungen per E-Mail bewahren wir abweichend davon als Nachweis drei Jahre ab dem Ende des Jahres auf, in dem der Widerruf abgewickelt wurde, und zwar nur mit den für den Nachweis nötigen Angaben (Abschnitt 8); danach löschen wir sie. Läuft zu diesem Zeitpunkt noch ein Streit über den Widerruf, löschen wir sie erst nach dessen Abschluss. Kauf- und Abodaten in der Google Play Console unterliegen den Aufbewahrungsregeln von Google Play, die Berichte in App Store Connect denen von Apple. Auszahlungs- und Umsatzberichte aus der Play Console und aus App Store Connect, ebenso die Belege von Erstattungen, die wir selbst geleistet haben (Zahlungsbeleg mit Name, Betrag und den Angaben zum Zahlungsweg, etwa der Bankverbindung; Apple-Kaufbeleg), bewahren wir für die Buchhaltung zehn Jahre auf (Art. 958f OR); darüber hinaus legen wir keine eigene Kopie an. Unsere Antworten auf Store-Bewertungen bleiben im Google Play Store bzw. App Store sichtbar, solange deine Bewertung dort veröffentlicht ist; eine eigene Kopie legen wir nicht an. Widersprichst du (Abschnitt 15.3), entfernen wir unsere Antwort.

Ausnahme Papierkorb: Bereits von dir gelöschte, aber noch nicht endgültig entfernte Einträge liegen im Papierkorb und werden dort automatisch endgültig gelöscht, sobald du die App nach Ablauf von 30 Tagen seit dem Löschen das nächste Mal entsperrst oder den Papierkorb öffnest. Ohne Entsperren wird nichts gelöscht, weil die Datenbank vorher nicht lesbar ist; öffnest du die App nie wieder, bleiben die Einträge liegen. Vergangene Termine verschiebt die App 30 Tage nach dem Termin auf dieselbe Weise in den Papierkorb.

12. Datensicherheit

Android: Die App schützt deine Einträge durch die verschlüsselte Datenbank (Abschnitt 4.1), Backups mit einzeln verschlüsselten Bestandteilen, die nur auf deinen Wunsch entstehen, auf Systemebene deaktivierte automatische Android-Backups und Geräteübertragungen (Abschnitt 4.5) und dadurch, dass sie auf allen Bildschirmen mit deinen Einträgen Bildschirmfotos und -aufnahmen verhindert und in der App-Übersicht keinen Inhalt zeigt. Nicht davon erfasst sind der unverschlüsselte Einstellungsspeicher (Abschnitt 4.1) und die kurzlebigen Arbeitskopien im App-Cache (Abschnitt 4.7).

iPhone: Die App schützt deine Einträge durch die verschlüsselte Datenbank und den Dateischutz von iOS (Abschnitt 4.1), Backups mit einzeln verschlüsselten Bestandteilen, die nur auf deinen Wunsch entstehen, den Ausschluss ihrer Daten vom iCloud-Backup und vom Backup auf einem Computer (Abschnitt 4.5) und dadurch, dass sie ihren Inhalt in der App-Übersicht von iOS und während einer Bildschirmaufnahme oder -spiegelung abdeckt; Bildschirmfotos kann sie auf dem iPhone nicht verhindern. Nicht davon erfasst sind der unverschlüsselte Einstellungsspeicher (Abschnitt 4.1), die kurzlebigen Arbeitskopien im App-Cache und die bereits geplanten Erinnerungstexte, die iOS bis zur Anzeige verwahrt (Abschnitt 4.7).

Bei Verlust oder Diebstahl deines Geräts schützt diese Verschlüsselung – mit den eben genannten Ausnahmen – deine Gesundheitsdaten, sofern deine PIN ausreichend lang und nicht leicht zu erraten ist; eine entwendete Datenbank- oder Backup-Datei lässt sich offline durchprobieren (Abschnitt 4.5).

13. Meldepflicht bei Verletzungen des Datenschutzes

Für die Daten, die wir selbst verarbeiten (Abschnitt 2, zweiter Absatz), erfüllen wir die gesetzlichen Meldepflichten bei Verletzungen des Datenschutzes gegenüber der zuständigen Aufsichtsbehörde und, wo vorgeschrieben, gegenüber dir (insbesondere Art. 33/34 DSGVO bzw. UK GDPR, Art. 24 DSG; zu den USA siehe Abschnitt 19). Kennen wir keinen Kontaktweg zu dir, informieren wir über einen Hinweis in der App und im Store-Eintrag.

Erfahren wir von einer Schwachstelle in der Verschlüsselung der App, die deine lokal gespeicherten Einträge betrifft, informieren wir dich über einen Hinweis in der App, im Store-Eintrag und auf unserer Website (vgl. Art. 14 Abs. 8 der EU-Cyberresilienzverordnung, Verordnung (EU) 2024/2847).

Zusätzlich gilt:

• Kanada: Nach PIPEDA melden wir Verletzungen mit “real risk of significant harm” dem Office of the Privacy Commissioner of Canada (OPC) sowie den betroffenen Personen, nach der Québecer Loi 25 der Commission d’accès à l’information (CAI) sowie ebenfalls den betroffenen Personen.
• Australien: Nach dem Notifiable Data Breaches-Schema (Privacy Act 1988, Teil IIIC) informieren wir bei einer “eligible data breach” das OAIC sowie die betroffenen Personen — die Sensibilität der Daten (hier: Gesundheitsdaten) fliesst dabei nach OAIC-Leitlinien massgeblich in die Erheblichkeitsprüfung (“serious harm”) ein.
• Neuseeland: Nach dem Privacy Act 2020 (Teil 6) informieren wir bei einer “notifiable privacy breach” den Privacy Commissioner sowie die betroffenen Personen.
• Singapur: Soweit der PDPA Anwendung findet (siehe Abschnitt 21), informieren wir bei einer “notifiable data breach” die PDPC sowie — sofern die Erheblichkeitsschwelle erreicht ist — die betroffenen Personen.

14. Internetzugriff der App

Android: Für die Abwicklung des PocketSana-Premium-Abos über die Google-Play-Billing-Bibliothek ist die Android-Berechtigung für Internetzugriff technisch notwendig und deshalb in der App enthalten; Gesundheitsdaten überträgt die App darüber nicht.

Technisch erlaubt diese Berechtigung der ganzen App den Netzwerkzugriff; dass wir sie nur für die Kauf- und Berechtigungsprüfung des Abos nutzen, ist eine von uns selbst auferlegte Beschränkung. Unser eigener Code baut an keiner anderen Stelle eine Internetverbindung auf.

Zu den Diagnose-Komponenten der Google-Bibliotheken siehe Abschnitt 5. Die Kauf- und Berechtigungsprüfung des Abos läuft über die Play-Store-App auf deinem Gerät, die dafür Google kontaktiert (Abschnitt 9).

iPhone: Technisch kann jede iOS-App Netzwerkverbindungen aufbauen; dass PocketSana auf dem iPhone selbst keine aufbaut, ist ebenfalls eine von uns selbst auferlegte Beschränkung: Unser eigener Code enthält keine Netzwerkaufrufe, und die App enthält keine Bibliotheken von Dritten, die Daten senden. Die Abo-Prüfung übernimmt iOS selbst über den App Store (Abschnitt 9).

15. Deine Rechte

15.1 Deine Rechte gegenüber uns

Für die wenigen Daten, die wir selbst verarbeiten (Abschnitt 2, zweiter Absatz: Abo-/Kaufdaten, Support-Anfragen, Widerrufserklärungen, eigene Erstattungen, Antworten auf Store-Bewertungen), hast du gegenüber uns folgende Rechte:

• Auskunft — Art. 25 DSG (Schweiz); Art. 15 DSGVO (EU).
• Berichtigung — Art. 32 Abs. 1 DSG (Schweiz); Art. 16 DSGVO (EU).
• Löschung — Art. 32 Abs. 2 lit. c DSG (Schweiz); Art. 17 DSGVO (EU).
• Einschränkung — Art. 18 DSGVO (EU); in der Schweiz vergleichbar Art. 32 Abs. 2 lit. a DSG.
• Datenherausgabe/-übertragbarkeit — Art. 28 DSG (Schweiz); Art. 20 DSGVO (EU).
• Widerspruch — Art. 21 DSGVO (EU); Art. 30 Abs. 2 lit. b DSG (Schweiz); siehe Abschnitt 15.3.
• Widerruf einer Einwilligung — Art. 7 Abs. 3 DSGVO (EU); zu Gesundheitsangaben in Support-Anfragen siehe Abschnitt 8.
• Beschwerderecht — für die Daten, die wir selbst verarbeiten: nicht in der App, sondern bei der Aufsichtsbehörde — Schweiz: Anzeige beim EDÖB (edoeb.admin.ch); EU: Art. 77 DSGVO, Beschwerde bei der Aufsichtsbehörde deines Aufenthaltsorts.

Schreib uns dafür an contact.pocketsana@gmail.com oder an unsere Postanschrift (Abschnitt 2); in der EU kannst du dich auch an unseren Vertreter wenden (Abschnitt 2). Auskunft erteilen wir in der Regel innert 30 Tagen (Art. 25 Abs. 7 DSG); auf Anträge nach der DSGVO antworten wir innert eines Monats (Art. 12 Abs. 3 DSGVO).

Automatisierte Einzelentscheidungen (Art. 22 DSGVO; Art. 21 DSG) finden nicht statt.

15.2 Kontrolle über deine Einträge in der App

Deine Einträge liegen nur auf deinem Gerät; du verwaltest sie direkt in der App. Diese Funktionen sind keine gesetzlichen Ansprüche gegen uns, weil wir deine Einträge nicht verarbeiten (Abschnitt 2).

• Einsicht — Alle Journale sind jederzeit einsehbar.
• Bearbeitung — Alle Einträge sind editierbar; bei aus Health Connect bzw. Apple Health importierten Werten bleiben Datum und Uhrzeit fest, importierte Schlafnächte lassen sich nur löschen. Wundfotos und erfasste Einnahmen kannst du löschen und neu erfassen, aber nicht bearbeiten.
• Löschung — in der App auf mehreren Wegen (siehe unten).
  • Einzelne Einträge: Papierkorb (Wiederherstellen/endgültig löschen) oder die Funktion «Alte Einträge aufräumen» in den Einstellungen, die ältere Einträge gesammelt in den Papierkorb verschiebt (ausgenommen sind einzelne Arten wie Medikamente; sie lassen sich einzeln löschen). Zum automatischen Löschen aus dem Papierkorb siehe Abschnitt 11.
  • Ein einzelnes Profil: im Bearbeiten-Bildschirm des Profils über “Profil löschen”. Dabei werden seine Journaleinträge, Dokumente und das Profilbild sofort und endgültig gelöscht, ohne Papierkorb-Frist.
  • Sämtliche Daten: siehe “Löschung sämtlicher Daten” unten.
• Einschränkung — Deaktivieren einzelner Funktionen (z. B. die automatische Aktualisierung aus Health Connect bzw. Apple Health in den Einstellungen ausschalten oder die Leseberechtigungen entziehen: auf Android in den Health-Connect-Einstellungen deines Geräts, auf dem iPhone in der Health-App bzw. in den iOS-Einstellungen beim Eintrag für PocketSana; bereits übernommene Werte bleiben gespeichert, bis du sie löschst).
• Export — Backup-Export (siehe Abschnitt 4.5) oder PDF-Exporte (Notfallausweis, Arzttermin-Export).

Löschung sämtlicher Daten:

• Deinstallation oder Löschen der App-Daten (Android-Einstellungen → diese App → Speicher; die Bezeichnung hängt vom Gerät ab): Beides löscht alle App-Daten endgültig, auch den unverschlüsselten Einstellungsspeicher; eine Serverkopie gibt es nicht.
• iPhone, App löschen: Auf dem iPhone löschst du die App, indem du lange auf das App-Symbol tippst und «App entfernen» → «App löschen» wählst. «App auslagern» löscht deine Daten nicht. iOS bietet kein Löschen der App-Daten ohne Löschen der App. Einträge, die iOS im Schlüsselbund zurücklässt, löscht die App beim ersten Start nach einer Neuinstallation (Abschnitt 4.4b).
• «Zurücksetzen und neu einrichten» erscheint auf dem Sperrbildschirm nur, wenn sich die App wegen eines Fehlers nicht mehr entsperren lässt. Es löscht alle Einträge, Dokumente, Fotos und Erinnerungen; einzelne Einstellungen (z. B. Sprache, Bestätigung beim ersten Start, Zustimmung zum Health-Connect-Import bzw. zum Import aus Apple Health) sowie Abo-Status und Testphasen-Beginn bleiben erhalten. Auf dem iPhone liegen der Abo-Status und die übrigen Angaben aus Abschnitt 4.4b im Schlüsselbund und bleiben bis zum ersten Start nach einer Neuinstallation erhalten.
• Letztes Profil: Das letzte verbleibende Profil lässt sich in der App nicht löschen — dafür löschst du die App-Daten in den Android-Einstellungen oder deinstallierst die App bzw. löschst sie auf dem iPhone.
• Kauf- und Abo-Verlauf: Deinen Kauf- und Abo-Verlauf führt Google Play als eigenständig Verantwortlicher. Du kannst ihn nur über dein Google-Konto verwalten oder löschen lassen, nicht über die App (Abschnitt 9). Bei einem Abo über den App Store führt Apple den Kauf- und Abo-Verlauf als eigenständig Verantwortliche; du verwaltest ihn über deinen Apple Account, Auskunft und Löschung erhältst du bei Apple unter privacy.apple.com.

Nicht mitgelöscht werden Backups, PDF-Exporte und geteilte Dokumente, die du ausserhalb der App gespeichert oder weitergegeben hast (Abschnitt 4.5); für diese Kopien bist du selbst verantwortlich.

15.3 Dein Widerspruchsrecht (Art. 21 DSGVO)

Gegen die Verarbeitungen, die wir auf unser berechtigtes Interesse stützen (Beantwortung von Store-Bewertungen und von Support-Anfragen ohne Bezug zu einem Vertrag, Aufbewahrung von Support-E-Mails, Buchhaltungsunterlagen und Widerrufserklärungen, Einsicht in die Berichte von Apple und in die Angaben in der Play Console für die Buchhaltung), kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch einlegen. In der Schweiz kannst du einer Bearbeitung ebenfalls widersprechen (Art. 30 Abs. 2 lit. b DSG). Schreib dazu an contact.pocketsana@gmail.com.

Wir prüfen deinen Widerspruch im Einzelfall.

16. Für Nutzer:innen in der Schweiz gilt zusätzlich

Für die von uns selbst durchgeführten Bearbeitungen (Abschnitt 2, zweiter Absatz) gilt das DSG; zur Anzeige beim EDÖB siehe Abschnitt 15.1. Ein Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG) führen wir.

17. EU/EWR: zusätzlich geltende Punkte (siehe Abschnitt 3)

• Die DSGVO gilt für die von uns selbst durchgeführten Verarbeitungen mit den in Abschnitt 8 genannten Rechtsgrundlagen.
• Wir und unser Vertreter führen ein Verzeichnis unserer Verarbeitungstätigkeiten (Art. 30 DSGVO).
• Speichern auf deinem Gerät (Deutschland: § 25 TDDDG; Österreich: § 165 Abs. 3 TKG 2021): Die App speichert Informationen auf deinem Gerät und liest sie dort aus (u. a. deine Einträge, Einstellungen, Abo-Status, auf Android den Beginn der Testphase; auf deine Anforderung Werte aus Health Connect bzw. Apple Health). Das ist jeweils unbedingt erforderlich, um die von dir gewünschten Funktionen bereitzustellen; eine Einwilligung ist dafür nicht nötig. Eine Installationskennung der Texterkennung ML Kit lässt die App nicht entstehen (Abschnitt 5). Cookies, Werbe-IDs oder Tracking-Kennungen verwenden wir nicht.

18. Vereinigtes Königreich: zusätzlich geltende Punkte

• Children’s Code (Age Appropriate Design Code der ICO): Anders als COPPA (Abschnitt 22) stellt der britische Children’s Code nicht auf ein festes Mindestalter ab, sondern darauf, ob ein Dienst wahrscheinlich von Personen unter 18 Jahren genutzt wird. Die App richtet sich nicht an Personen unter 18 Jahren; das Mindestalter von 18 Jahren ergibt sich aus den Nutzungsbedingungen (Teil A.4).
• Beschwerderecht direkt bei uns: Du kannst dich mit einer Beschwerde über eine mutmassliche Verletzung des UK GDPR jederzeit zunächst direkt an uns wenden — vor einer Beschwerde beim ICO oder stattdessen. Wir bestätigen den Eingang deiner Beschwerde innerhalb von 30 Tagen. Kontakt: contact.pocketsana@gmail.com. Beschwerden kannst du auch an das Information Commissioner’s Office (ICO, ico.org.uk) richten.
• Vertreter im Vereinigten Königreich (Art. 27 UK GDPR): Solange wir die App dort nicht anbieten, ist keiner benannt; unser Vertreter in der EU übernimmt diese Rolle nicht. Sobald wir die App dort anbieten, nennen wir ihn hier.

19. Vereinigte Staaten von Amerika: zusätzlich geltende Punkte

PocketSana ist kein HIPAA-Covered-Entity und kein Business Associate im Sinne des Health Insurance Portability and Accountability Act (45 CFR Parts 160/164). HIPAA gilt ausschliesslich für Gesundheitsdienstleister, Krankenversicherungen, Clearingstellen und deren Auftragsverarbeiter — nicht für einen direkten Consumer-App-Anbieter ohne Behandlungs- oder Versicherungsverhältnis zu dir. Deine Daten sind daher keine “Protected Health Information” im HIPAA-Sinn und unterliegen nicht dessen Regeln.

Meldepflicht nach der FTC Health Breach Notification Rule: Da PocketSana Gesundheitsdaten sowohl durch deine eigene Eingabe als auch — bei aktivierter Anbindung an Health Connect bzw. Apple Health — aus einer zweiten Quelle zusammenführen kann, kann die App nach Verständnis der US-Handelsaufsicht FTC als Anbieterin eines “Personal Health Record” im Sinne der Health Breach Notification Rule (16 CFR Part 318) gelten. Im Fall einer Sicherheitsverletzung kommen wir der daraus resultierenden Meldepflicht gegenüber der FTC und betroffenen Personen nach.

Washington, USA — My Health My Data Act: Für Personen mit Wohnsitz im US-Bundesstaat Washington gilt zusätzlich der Washington My Health My Data Act (RCW 19.373). Dieses Gesetz erfasst u. a. deine Menstruations-/Zyklusdaten und Substanzkonsum-Einträge als “Consumer Health Data” — ein weiter Begriff, unabhängig von Unternehmensgrösse oder Umsatz. Es verlangt von Anbietern, die solche Daten erheben, eine gesonderte Einwilligung vor der Erhebung sowie eine eigenständige Consumer-Health-Data-Datenschutzerklärung. Wir erheben diese Daten nicht aus der App — deine Einträge bleiben auf deinem Gerät und erreichen uns nie (Abschnitt 2). Gesundheitsangaben, die du uns trotz unserer Bitte in einer Support-Anfrage schreibst, verwenden wir für die Antwort nur mit deiner ausdrücklichen Einwilligung und löschen sie spätestens 30 Tage nach Abschluss der Anfrage, auch in einer als Nachweis aufbewahrten Widerrufserklärung (Abschnitt 8). Sollten wir die App in den USA anbieten, stellen wir dafür zusätzlich eine eigene, kurze Consumer-Health-Data-Datenschutzerklärung bereit, die diesen Fall abdeckt.

Kalifornien, USA — CCPA/CPRA: Der California Consumer Privacy Act (CCPA/CPRA) und vergleichbare Gesetze in Colorado und Virginia gelten nur für Unternehmen oberhalb gesetzlicher Umsatz- oder Datenmengen-Schwellen; diese erreichen wir nach aktuellem Stand nicht. Für Consumer Health Data gelten in Nevada (SB 370) und – für einzelne Pflichten – in Connecticut (SB 3) Regeln ohne Grössenschwelle; wir wenden darauf denselben Massstab an wie im Washington-Absatz.

Kalifornien, USA — Confidentiality of Medical Information Act (CMIA): Anders als CCPA/CPRA kennt der CMIA (California Civil Code § 56.06) keine Umsatz- oder Nutzerzahlen-Schwelle: Er erfasst ausdrücklich jedes Unternehmen, das Software — einschliesslich einer mobilen App — anbietet, die dazu bestimmt ist, medizinische Informationen zu verwalten, damit betroffene Personen ihre eigenen Daten selbst organisieren können. Das trifft auf PocketSanas Kernfunktion zu.

20. Kanada: zusätzlich geltende Punkte

Sobald die App Personen in Kanada angeboten wird, gilt das Bundesgesetz PIPEDA, für Nutzer:innen in Québec zusätzlich die Loi 25. Deine Gesundheitsdaten gelten dabei als “sensible Personendaten” (“renseignements personnels sensibles”), für deren Erhebung eine ausdrückliche Einwilligung erforderlich wäre. Wir erheben sie nicht — sie bleiben auf deinem Gerät (Abschnitt 2); für die wenigen Daten, die wir selbst verarbeiten (Abo-/Kaufdaten, Support-Anfragen, Widerrufserklärungen, eigene Erstattungen, Antworten auf Store-Bewertungen), gelten die Angaben in Abschnitt 8. Verantwortlich für den Datenschutz nach Loi 25 ist mangels anderer Ernennung die Person mit der obersten Entscheidungsgewalt — siehe Abschnitt 2 für die Kontaktangabe.

Québec: Eine massgebliche französische Fassung der Nutzungsbedingungen und dieser Erklärung, wie sie die Charte de la langue française verlangt, gibt es derzeit nicht; die französische Übersetzung dient nur der Information. Personen mit Wohnsitz in Québec bieten wir die App deshalb nicht an (Nutzungsbedingungen Teil A.10).

21. Australien, Neuseeland, Singapur: zusätzlich geltende Punkte

Australien: Sobald wir die App in Australien anbieten, gilt der Privacy Act 1988 (Cth) mit den Australian Privacy Principles (APPs) für uns; die Ausnahme für kleine Unternehmen nehmen wir vorsorglich nicht in Anspruch, weil die App als “health service” gelten kann (s 6FB Privacy Act 1988). Zugang zu und Berichtigung der Daten, die wir selbst verarbeiten (APP 12/13), kannst du wie in Abschnitt 15.1 beschrieben bei uns verlangen; deine Einträge verwaltest du direkt in der App (Abschnitt 15.2). Beschwerden kannst du an das Office of the Australian Information Commissioner (OAIC, oaic.gov.au) richten.

Neuseeland: Sobald wir die App in Neuseeland anbieten, gilt der Privacy Act 2020 mit seinen Information Privacy Principles für uns, auch ohne Niederlassung vor Ort. Beschwerden: Office of the Privacy Commissioner, privacy.org.nz.

Singapur: Soweit der Personal Data Protection Act (PDPA) Anwendung findet, dient contact.pocketsana@gmail.com zugleich als Kontaktadresse unserer/unseres Data Protection Officer im Sinne des PDPA — eine gesonderte Grössenschwelle kennt der PDPA für diese Pflicht nicht.

22. Kinder/Jugendliche

Diese App richtet sich ausschliesslich an Erwachsene (mindestens 18 Jahre, Nutzungsbedingungen Teil A.4); wir erheben wissentlich keine Daten von Kindern, auch nicht im Sinne des US-Kinderschutzgesetzes COPPA (unter 13 Jahren). Zusatzprofile für minderjährige Angehörige legt eine erwachsene Person selbst an und pflegt sie (Nutzungsbedingungen Teil A.3); sie haben keine eigenen Zugangsdaten.

23. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Bei wesentlichen Änderungen zeigt dir die App den Bestätigungsbildschirm erneut (Abschnitt 8).