Datenschutz

Verantwortlicher

Zweck der Verarbeitung

meinStress verarbeitet Daten, um den Login bereitzustellen, Google-Health-Daten abzurufen, daraus einen spielerischen Stressindex zu berechnen und diesen im Dashboard, in der App oder im Widget anzuzeigen. Freiwillige Profileinstellungen können die Berechnung persönlicher machen; ohne eigene Angaben werden neutrale Standardwerte verwendet.

Verarbeitete Datenarten

• Google-Kontodaten aus dem Login, insbesondere Google-ID und E-Mail-Adresse.
• OAuth-Token und Refresh-Token, damit meinStress Google Health abfragen kann.
• App-Token für die Android-App und das Widget, gespeichert als Hash mit Ablaufdatum und letzter Nutzung.
• Fitness- und Schlafdaten aus Google Health, insbesondere Herzfrequenz, Ruhepuls, HRV, Schritte und Schlafinformationen.
• Freiwillige Profileinstellungen wie Altersgruppe, Geschlechtsangabe und Aktivitätsniveau, sofern du sie in den Einstellungen hinterlegst. Gespeichert wird nur die ausgewählte Altersgruppe, nicht das genaue Alter oder Geburtsdatum.
• Berechnete Werte wie Stressscore, Stresslevel, HRV-Baseline, Schlafqualität und Zeitpunkte der letzten Daten.
• Technische Daten, die beim Aufruf des Servers entstehen können, z.B. IP-Adresse, Zeitpunkt, URL und User-Agent in Server-Logs.

Speicherung und Löschfristen

Rohdaten aus Google Health werden für die Berechnung abgerufen und nicht als vollständige Rohdatenhistorie dauerhaft gespeichert. Gespeichert werden technische Zugangsdaten, Sessions, App-Token-Hashes, Cache-Daten und verdichtete Verlaufswerte, soweit sie für Login, Dashboard, App, Widget und Verlauf nötig sind.

• Browser-Sessions laufen spätestens nach 90 Tagen ab oder werden beim Logout gelöscht.
• App-Token-Hashes laufen spätestens nach 90 Tagen ab oder werden beim Logout, Widerruf oder bei Konto-/Datenlöschung gelöscht.
• OAuth-Token und Refresh-Token werden bis zum Widerruf, zur Inaktivitätsbereinigung oder zur Konto-/Datenlöschung gespeichert.
• Verdichtete Verlaufswerte, HRV-Baselines, Cache-Daten und freiwillige Profileinstellungen werden bis zur Konto-/Datenlöschung gespeichert; Cache-Daten dienen nur der technischen Beschleunigung.
• Server-Logs werden, soweit sie anfallen, regelmäßig gelöscht; Zielwert ist eine Aufbewahrung von höchstens 30 Tagen, sofern keine sicherheitsrelevante Prüfung eine längere Aufbewahrung erfordert.

Google OAuth und Google Health

Die Anmeldung erfolgt über Google OAuth. Vor dem Start des Google-Logins fragt meinStress eine eigene ausdrückliche Einwilligung für die Verarbeitung von Fitness-, Schlaf-, Puls- und HRV-Daten ab. Nach Zustimmung können die freigegebenen Google-Health-Daten abgerufen werden. Die Datenübertragung und Bereitstellung durch Google unterliegt zusätzlich den Bedingungen und Datenschutzhinweisen von Google.

Verwendung nach der Google-Health-Richtlinie

Die Nutzung der von Google Health erhaltenen Daten erfolgt ausschließlich zur Bereitstellung und Verbesserung der im meinStress-Interface sichtbaren Funktionen, insbesondere zur spielerischen Auswertung und Anzeige des Stressindex. meinStress verkauft diese Daten nicht, verwendet sie nicht für Werbung und gibt sie nicht zu anderen als den in dieser Datenschutzerklärung beschriebenen Zwecken weiter. Diese Nutzung beachtet die Google Health API Developer and User Data Policy einschließlich der Limited-Use-Anforderungen.

Rechtsgrundlage

Die Verarbeitung von Gesundheitsdaten oder Daten, die Rückschlüsse auf Gesundheit und Wohlbefinden zulassen können, erfolgt auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO sowie, soweit für die Bereitstellung der gewünschten Funktionen erforderlich, Art. 6 Abs. 1 lit. a DSGVO. Server-Logs und technisch notwendige Sicherheitsverarbeitung erfolgen auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO. Die Nutzung ist freiwillig. Eine erteilte Berechtigung kann widerrufen werden, indem du den Zugriff in deinem Google-Konto entfernst oder die Löschung deiner Daten anforderst.

Empfänger, Hosting und Drittlandübermittlung

meinStress verkauft keine Daten und gibt keine Daten zu Werbezwecken weiter. Technisch notwendig ist die Kommunikation mit Google für Login, Token-Austausch und Google-Health-Abfragen. Google kann Daten in den USA verarbeiten; eine Drittlandübermittlung erfolgt nach den Art. 44 ff. DSGVO, insbesondere auf Basis des EU-US Data Privacy Framework, soweit anwendbar, oder geeigneter Garantien wie Standardvertragsklauseln. Die Website meinstress.pikasso.eu.org wird bei Oracle Cloud Infrastructure, Region Frankfurt, gehostet. Beim Hosting können technische Server-Logs entstehen. Soweit Oracle dabei personenbezogene Daten als Dienstleister verarbeitet, erfolgt dies als Auftragsverarbeitung nach Art. 28 DSGVO.

Cookies und Sessions

meinStress verwendet technisch notwendige Session-Cookies für Login, OAuth-Sicherheitsprüfung und Dashboard-Zugriff. Diese Cookies sind für die angeforderte Funktion unbedingt erforderlich und werden auf Grundlage von § 25 Abs. 2 TDDDG ohne Cookie-Banner gesetzt.

Löschung und Widerruf

Du kannst Profileinstellungen im Dashboard jederzeit ändern. App-Token kannst du dort widerrufen. Den Google-Zugriff kannst du in deinem Google-Konto entfernen. Eine webbasierte Löschung deines meinStress-Kontos und der dazu gespeicherten Daten ist unter delete_account.php möglich. Für Auskunft, Berichtigung oder Löschung kannst du dich außerdem per E-Mail melden.

Deine Rechte

Du hast im Rahmen der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Außerdem kannst du eine erteilte Einwilligung mit Wirkung für die Zukunft widerrufen. Du hast zudem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für München ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, zuständig.

Hinweis zu Gesundheitsdaten

Fitness-, Schlaf-, Puls- und HRV-Daten können Rückschlüsse auf Gesundheit oder Wohlbefinden erlauben. Deshalb solltest du meinStress nur nutzen, wenn du mit dieser Verarbeitung einverstanden bist.