Daten schutz
Deine Gesundheitsdaten gehören dir. Diese Erklärung sagt klar, welche Daten wir erheben — und welche nicht.
Verantwortlicher
Sven Grabowski (TagoHealth)
Pletschmühlenweg 62
50259 Pulheim · Deutschland
E-Mail: sven@jointago.app
Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht erforderlich (Einzelunternehmer unter Schwellenwert). Bei Fragen zum Datenschutz erreichst du direkt den Verantwortlichen über die obige Adresse.
1. Was wir erheben
2. Was wir NICHT erheben
Kein Standort. Keine Kontakte. Keine Werbe-IDs, kein Werbe-Tracking, kein Datenverkauf. Nutzungsstatistiken ausschließlich mit deiner ausdrücklichen Einwilligung (siehe oben).
3. Drittanbieter
Open Food Facts
Für Produktdaten senden wir Barcodes und Suchbegriffe an openfoodfacts.org. Gemeinnütziges Projekt.
Google Gemini
Bei KI-Foto-Erkennung wird dein Bild an Gemini übermittelt. Verschlüsselt, nicht dauerhaft gespeichert. Du wirst vor der ersten Nutzung gefragt. Server in den USA — Art. 49 Abs. 1 lit. a DSGVO.
PostHog (Nutzungsstatistiken)
Nur bei aktivierter Einwilligung „Analyse verbessern“: pseudonyme Nutzungs-Events an PostHog (PostHog EU, Hosting in Frankfurt — Auftragsverarbeitung nach Art. 28 DSGVO, keine Übermittlung in die USA). Widerruf jederzeit in den Einstellungen — danach wird nichts mehr erhoben.
Apple Health · Health Connect
Optional, nur mit der eigenen Erlaubnisabfrage von Apple Health bzw. Health Connect. Tago liest Schritte, Aktivitäten, Gewicht, Wasser und Schlaf – auf Wunsch (Schlaf-Seite → „Messwerte anzeigen“) auch Herzfrequenz, HRV, Atemfrequenz und Sauerstoff während des Schlafs – und schreibt Aktivitäten, Gewicht und Wasser zurück. Schlaf und Messwerte im Schlaf werden nur auf deinem Gerät ausgewertet und nicht an unseren Server übertragen. „Schlafdaten teilen“ erstellt einen Text, den du selbst über das Teilen-Menü an eine App deiner Wahl gibst; Tago sendet dabei nichts.
Sign in with Apple (iOS)
Auf iOS meldest du dich mit deiner Apple-ID an. Apple sendet uns ein signiertes Token mit einer stabilen User-ID und — nur beim ersten Login — optional Name und E-Mail. Wenn du „E-Mail verbergen" wählst, erhalten wir eine Apple-Weiterleitungsadresse; deine echte Mail bleibt bei Apple. Wir speichern keine Apple-Passwörter und fordern nur die minimal nötigen Scopes an.
Google Sign-In (Android)
Auf Android kannst du dich mit deinem Google-Konto anmelden. Google übermittelt uns dein Profil (Name, E-Mail) zur Authentifizierung. Auf iOS wird Google Sign-In nicht angeboten — dort läuft die Anmeldung ausschließlich über Sign in with Apple oder E-Mail.
Apple IAP · Google Play Billing · RevenueCat
Für das Pro-Abo nutzen wir Apple In-App Purchase (iOS) bzw. Google Play Billing (Android). Die Zahlungsabwicklung läuft vollständig über Apple bzw. Google — wir sehen keine Zahlungsdaten. Zur Abo-Verwaltung setzen wir RevenueCat Inc. (USA) ein, Art. 28 DSGVO Auftragsverarbeitungsvertrag geschlossen, Übermittlung abgesichert über EU-Standardvertragsklauseln.
Resend (E-Mail-Versand)
Für Magic-Links, E-Mail-Verifizierung und System-Mails nutzen wir Resend.com. Übertragen werden deine E-Mail-Adresse und der Mail-Inhalt. Serverstandort EU, Art. 28 DSGVO AV abgeschlossen.
Expo Push Notifications
Für Push-Benachrichtigungen nutzen wir den Expo-Push-Service. Ein anonymer Push-Token wird an Apple bzw. Google und Expo übermittelt. Der Token ist nicht mit deiner Identität verknüpfbar. Du kannst Benachrichtigungen jederzeit in den Einstellungen deaktivieren.
App-Integrität (Google Play Integrity · Apple App Attest)
Damit nur die echte Tago-App unsere KI-Funktionen nutzt (Schutz vor Missbrauch und Kosten durch Skripte oder veränderte Apps), weist die App bei KI-Anfragen ihre Echtheit nach. Android: Google Play Integrity — Google Play bestätigt, dass die App unverändert aus Google Play stammt und auf einem echten Gerät läuft; Google verarbeitet dazu wie bei Google Play üblich Angaben zu App, Gerät und Lizenz. iOS: Apple App Attest — ein Schlüssel im Secure Enclave deines Geräts, den Apple einmalig bestätigt. Signiert werden nur Prüfdaten (Art und Adresse der Anfrage, zufällige Geräte-ID, Uhrzeit), keine Inhalte und keine Gesundheitsdaten. Wir speichern das Ergebnis nur als Zählung ohne Bezug zu deinem Konto und bei iOS den öffentlichen Geräteschlüssel, ebenfalls ohne Konto-Bezug. Google und Apple sind nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch).
Android-Testprogramm (Website)
Trägst du dich auf unserer Website für den Android-Test ein, speichern wir deine E-Mail-Adresse und die Sprache der Seite auf unserem Server in Deutschland und schicken dir über Resend eine Bestätigungsmail (Double-Opt-in). Erst nach deiner Bestätigung tragen wir die Adresse in die Testerliste der Google Play Console ein – Google braucht sie, um dich zum Test zuzulassen – und schicken dir die Einladung. Wir nutzen die Adresse nur für den Test. Unbestätigte Adressen löschen wir nach 7 Tagen. Austragen kannst du dich jederzeit über den Link in der Einladung oder per Mail; dann entfernen wir dich aus der Testerliste und löschen die Adresse spätestens nach 30 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar).
Website-Hosting & Besucherstatistik (Vercel)
Unsere Website läuft bei Vercel Inc. (USA), Auftragsverarbeitung nach Art. 28 DSGVO, Übermittlung abgesichert über das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Beim Aufruf verarbeitet Vercel technisch nötige Verbindungsdaten (u. a. IP-Adresse), um die Seite auszuliefern. Für eine anonyme Besucherstatistik nutzen wir Vercel Web Analytics: ohne Cookies und ohne Speicher auf deinem Gerät, ohne geräteübergreifendes Profil. Erfasst werden aufgerufene Seite, verweisende Website, Land sowie Geräte-, Browser- und Betriebssystemtyp; Besucher werden nur über einen Hash erkannt, der nach 24 Stunden verfällt. Adressen schicken wir ohne Parameter – Ausnahme: die Kennung der Anzeige auf der Seite „/start“ (z. B. s1), damit wir sehen, welche Anzeige Besucher bringt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Verbesserung der Website).
4. Speicherung
Primär lokal in einer SQLite-Datenbank auf deinem Gerät — die App funktioniert offline. Mit Account zusätzlich auf unserem Server in Deutschland (HTTPS-verschlüsselt). Passwörter werden als bcrypt-Hash gespeichert; Auth-Tokens liegen im iOS Keychain bzw. Android Keystore.
Auch ohne Account wird beim ersten Start ein Datensatz mit der zufälligen Geräte-ID angelegt, damit dein Nutzungskontingent geräteübergreifend konsistent bleibt. Registrierst du dich später, wird dieser anonyme Datensatz zu deinem Account „promoted" — es wird kein zweiter User-Eintrag erstellt.
5. Deine Rechte
Zuständige Aufsichtsbehörde für den Verantwortlichen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, Kavalleriestraße 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de.
6. Datensicherheit
Lokale Daten sind durch das Betriebssystem geschützt. Auth-Tokens liegen in iOS Keychain / Android Keystore. Server-Kommunikation ist TLS-verschlüsselt, Passwörter werden bcrypt-gehashed (12 Runden). Chat-Nachrichten und Kommentare zwischen Nutzern sind zusätzlich AES-256-GCM at-rest verschlüsselt.
7. Aufbewahrung & Löschung
Deine Daten werden gespeichert, solange du die App nutzt. Konkrete Fristen:
• Tagebuch, Symptome, Ziele: bis zur Account-Löschung
• Anonymisierte Tagesmuster (bei Consent): nach Widerruf binnen 30 Tagen
• Nutzungsstatistiken (bei Consent): Erhebung endet sofort mit Widerruf; gespeicherte Events sind pseudonym
• Push-Tokens: bei Deinstallation oder Logout
• Magic-Links: 10 Minuten · E-Mail-Verifizierungstokens: 24 Stunden
• Interne KI-Kosten-Logs: 90 Tage, danach aggregiert
• App-Integrität: Zählung ohne Konto-Bezug 90 Tage · iOS-Geräteschlüssel bis 180 Tage nach der letzten Nutzung
• Android-Testprogramm: unbestätigt 7 Tage · nach dem Austragen höchstens 30 Tage
• Website-Statistik (Vercel Web Analytics): Besucher-Hash 24 Stunden, danach nur zusammengefasste Zahlen
8. Rechtsgrundlagen im Überblick
• Account-Daten (E-Mail, Name, Profil): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Tagebuch, Nährwerte, Gewicht: Art. 6 Abs. 1 lit. b DSGVO (Kernfunktion der App)
• Symptome (Gesundheitsdaten): Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung)
• Anonymisiertes Teilen für Modell-Training: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, widerrufbar)
• Push-Benachrichtigungen: Art. 6 Abs. 1 lit. a DSGVO
• KI-Bildanalyse (Gemini): Art. 6 Abs. 1 lit. a + Art. 49 Abs. 1 lit. a (Einwilligung für Drittland-Transfer)
• App-Integrität (Play Integrity / App Attest): Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch)
• Android-Testprogramm (E-Mail-Adresse): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar)
• Website-Hosting und Besucherstatistik (Vercel): Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Verbesserung der Website)
9. Automatisierte Entscheidungen
Die App berechnet statistische Korrelationen zwischen Zutaten und Symptomen und schlägt mögliche Trigger vor (KI-Analyse-Report). Dies sind ausdrücklich Hinweise, keine automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO. Es werden keine rechtlichen oder ähnlich erheblichen Folgen automatisch ausgelöst. Du entscheidest selbst, ob und wie du die Empfehlungen umsetzt. Die App ersetzt keine ärztliche Beratung.