Datenschutzerklärung — BrainMaxx

Zuletzt aktualisiert: 25. September 2026

Juan Vizoso Prado - JV Studio, Einzelunternehmen ("BrainMaxx", "wir", "uns" oder "unser") mit Sitz in Deutschland, Geschäftsanschrift August Bebel Allee 3, 28329 Bremen, Deutschland, betreibt die mobile Anwendung BrainMaxx ("App") sowie die zugehörige Website (gemeinsam der "Dienst").

Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten erheben, verwenden, weitergeben und schützen, wenn Sie den Dienst nutzen. Wir verarbeiten Ihre Daten im Einklang mit der Datenschutz-Grundverordnung ("DSGVO"), dem Bundesdatenschutzgesetz ("BDSG"), der UK GDPR, dem California Consumer Privacy Act ("CCPA") in der Fassung des California Privacy Rights Act ("CPRA") sowie weiteren anwendbaren Datenschutzgesetzen.

Mit der Nutzung des Dienstes erklären Sie sich mit den nachstehend beschriebenen Datenverarbeitungen einverstanden. Wenn Sie nicht einverstanden sind, nutzen Sie den Dienst bitte nicht.

1. Rechtsgrundlagen und Transparenz

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — zur Bereitstellung des Dienstes (Kontoverwaltung, Aufgaben-Tracking, Foto- und Lächel-Verifizierung, App-Blockierung und Pausen, Brain-Health-Bewertung, Abonnementabwicklung).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — für optionale Funktionen wie Mitteilungen, den Zugriff auf Bildschirmzeit / Family Controls, den Kamerazugriff (für die Foto- und Lächel-Verifizierung, beobachtete Zeitaufgaben, die Übungszählung und die Videoanruf-Intervention), das Tracking zu Werbezwecken (über die App-Tracking-Transparency-Abfrage von Apple) und, soweit einschlägig, die Bereitstellung von Daten für die KI-Verarbeitung.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — für Diagnose- und Betriebsprotokollierung, Produktanalyse des Onboarding- und Abonnementerlebnisses, aggregierte (nicht identifizierende) Messung von Werbekampagnen, Betrugsprävention, Sicherheit und die Verbesserung des Dienstes, jeweils abgewogen gegen Ihre Rechte und Freiheiten.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) — zur Erfüllung gesetzlicher Vorgaben (z. B. steuer-, verbraucherschutz- und strafverfolgungsrechtlicher Art).

Diese Datenschutzerklärung ist in der App sowie unter https://brainmaxxapp.com/de/privacy abrufbar. Die Verarbeitung erfolgt rechtmäßig, nach Treu und Glauben, transparent und beschränkt auf die nachstehend genannten Zwecke.

2. Welche Daten wir erheben

Wir halten die Datenerhebung so gering wie möglich und erheben nur, was für den Betrieb des Dienstes erforderlich ist.

a. Kontodaten

• Sign in with Apple: Wenn Sie sich mit Apple anmelden, erhalten wir die von Apple vergebene Nutzerkennung und — sofern Sie sich für die Weitergabe entscheiden — Ihre E-Mail-Adresse (die eine private "Hide My Email"-Weiterleitungsadresse sein kann) sowie Ihren Namen.
• E-Mail und Passwort: Wenn Sie ein Konto per E-Mail anlegen, erheben wir Ihre E-Mail-Adresse und ein gehashtes Passwort (verarbeitet durch unseren Authentifizierungsdienstleister).
• Anonyme Konten: Sie können die App nutzen, ohne ein dauerhaftes Konto anzulegen. In diesem Fall erzeugen wir eine zufällige anonyme Kennung, damit Ihre Daten auf Ihrem Gerät und in unserem Backend erhalten bleiben. Anonyme Konten sind mit keiner personenbezogenen Kennung verknüpft, solange und bis Sie auf Sign in with Apple oder E-Mail umstellen.

Zweck: Kontoerstellung, Sitzungsverwaltung, Synchronisierung Ihrer Daten über mehrere Geräte hinweg.

Rechtsgrundlage: Vertragserfüllung.

b. Von Nutzerinnen und Nutzern erstellte Inhalte

Bei der Nutzung der App können Sie Folgendes erstellen oder hochladen:

• Aufgaben: Titel, Beschreibungen, Kategorien, Symbole, die zulässige Häufigkeit einer Aufgabe (zum Beispiel einmal täglich oder wiederholbar), die Belohnungshöhe, die gewählte Verifizierungsmethode (Foto oder Lächeln) sowie Abschlussdaten — darunter der Zeitpunkt des Abschlusses, die verdienten Punkte und, bei zeit- oder zählbasierten Aufgaben, Dauer oder Anzahl. Dies umfasst sowohl die von Ihnen genutzten oder favorisierten vorgefertigten Aufgaben als auch von Ihnen erstellte eigene Aufgaben.
• Antworten im Onboarding: Ihre Antworten im Onboarding-Fragebogen (Ihre Ziele, die Auswirkungen der Bildschirmzeit, die Sie nach eigener Angabe bemerken, wie Sie sich selbst beschreiben, ob Sie das Gefühl haben, die Kontrolle über Ihre Bildschirmzeit zu verlieren, was Sie bisher ausprobiert haben, Ihre täglichen Bildschirmstunden und Ihr Ziel sowie Ihre Altersgruppe). Dabei handelt es sich um Ihre eigenen Selbstbeschreibungen; wir fragen nicht nach Erkrankungen.
• Fotos zur Aufgabenverifizierung: Wenn eine Aufgabe einen Fotonachweis erfordert, können Sie mit der App ein Foto aufnehmen. Fotos werden auf dem Gerät komprimiert und zur KI-Analyse übertragen (siehe Abschnitt 4).
• Automatische Foto-Check-ins bei "beobachteten" Zeitaufgaben: Bei manchen Zeitaufgaben (zum Beispiel Lesen, Lernen oder Meditieren) bleibt die Kamera für die Dauer der Sitzung aktiv und nimmt alle paar Minuten automatisch ein Standbild auf, um zu bestätigen, dass Sie die Aufgabe weiterhin ausführen. Jedes Bild wird auf dem Gerät komprimiert und auf dieselbe Weise wie ein Verifizierungsfoto zur KI-Analyse gesendet (siehe Abschnitt 4); wir speichern ausschließlich das Ergebnis (bestanden/nicht bestanden), niemals das Bild. Die Kamera stoppt, sobald Sie die Sitzung verlassen.
• Selfies zur Lächel-Verifizierung: Wenn eine Aufgabe das Erkennen eines Lächelns erfordert, nutzt die App die geräteinterne Gesichts- bzw. Lächelerkennung (Core Image / Vision von Apple). Das Bild wird lokal auf Ihrem Gerät verarbeitet und nicht an unsere Server oder an Dritte übertragen. Wir führen keine Gesichtserkennung, keine biometrische Identifizierung und keine Identitätsprüfung durch und erstellen oder speichern keine Gesichtsvorlagen, Gesichtsabdrücke oder biometrischen Identifikatoren.

Zweck: Bereitstellung des Dienstes, Anzeige Ihrer Inhalte, Erzeugung von Verifizierungsergebnissen, Fortschrittsverfolgung.

Rechtsgrundlage: Vertragserfüllung.

c. Abonnement- und Kaufdaten

• Transaktionen im Apple App Store: Wenn Sie ein Abonnement erwerben, wickelt der App Store die Zahlung ab. Wir erhalten keine Zahlungskartendaten. Von RevenueCat (unserem Abonnementdienstleister) erhalten wir eine Transaktionskennung, die ursprüngliche Transaktionskennung, die Produktkennung, die Kaufumgebung (Produktion / Sandbox) sowie Verlängerungs- und Ablaufdaten.
• Brain-Health-Punkte: Wir erfassen die Punkte, die Sie durch den Abschluss von Aufgaben verdienen (intern als "Coins" gespeichert), die Aufgabe, aus der die jeweilige Gutschrift stammt, sowie Ihr Tagesguthaben, das täglich zurückgesetzt wird. Punkte haben keinen Geldwert und können nicht gekauft, ausgegeben, übertragen oder ausgezahlt werden.
• Erstattungsanfragen: Über Erstattungen entscheidet ausschließlich Apple. Wenn Sie bei Apple eine Erstattung beantragen, fragt Apple bei uns begrenzte Informationen ab, um eine faire Entscheidung treffen zu können; RevenueCat beantwortet diese Anfrage in unserem Auftrag. Die an Apple weitergegebenen Informationen beschränken sich auf: ob der gekaufte Inhalt bzw. das Abonnement an Sie ausgeliefert wurde, unsere allgemeine Präferenz im Umgang mit Erstattungen sowie Bestätigungen, dass Beispielinhalte (die kostenlosen Funktionen der App) vor dem Kauf verfügbar waren und dass diese Datenweitergabe Ihnen offengelegt wurde. Wir geben zu diesem Zweck keine Inhalte aus der App und keine Aktivitätsdaten an Apple weiter.

Zweck: Verwaltung von Abonnements, Wiederherstellung von Käufen, Betrugsprävention, Unterstützung einer fairen Bearbeitung von Erstattungsanfragen, Erfüllung unseres Vertrags mit Ihnen.

Rechtsgrundlage: Vertragserfüllung; rechtliche Verpflichtung; berechtigte Interessen (Betrugsprävention und faire Erstattungsbearbeitung). Die Datenweitergabe bei Erstattungsanfragen ist zudem von der Einwilligung gedeckt, die Sie nach unseren Allgemeinen Geschäftsbedingungen bei In-App-Käufen erteilen.

d. Konfiguration der App-Blockierung

Wenn Sie die App-Blockierung aktivieren, wählen Sie über Apples Framework Family Controls / Bildschirmzeit aus, welche Apps oder App-Kategorien blockiert werden sollen. Wir erhalten und speichern die begrenzten Konfigurationsinformationen zur App-Blockierung, die Apples Framework der App zugänglich macht, damit wir Ihre Blockierlisten und Zeitpläne anwenden und Pausen verwalten können. Ihre Blockierlisten, Zeitpläne und die Apps, die Sie von Brain Health ausnehmen, werden ausschließlich auf Ihrem Gerät gespeichert. Wenn der Blockierungs-Schild erscheint, liest die App den Anzeigenamen der blockierten App, um ihn auf dem Schild anzuzeigen; er wird weder gespeichert noch an uns übermittelt. Wir sehen nicht, was Sie in anderen Apps tun, und erheben keine Bildschirminhalte, Tastatureingaben, Nachrichten, Browserverläufe oder Live-Bildschirmaufzeichnungen. Wenn Sie bei einer Intervention eine Pause einlegen, erfasst die App, wie viel Pausenzeit Sie pro Tag nutzen (eine Dauer in Sekunden, ohne zugehörige App-Namen), und synchronisiert dies mit unserem Backend, damit Ihre Fortschrittsstatistiken dies widerspiegeln können.

Zweck: Bereitstellung der App-Blockierung.

Rechtsgrundlage: Vertragserfüllung; Einwilligung (Family-Controls-Berechtigung).

e. Bildschirmzeit und Brain Health

Wenn Sie den Zugriff auf die Bildschirmzeit erteilen, stellt iOS Ihre Bildschirmzeitdaten (Zeit pro App, Aktivierungen und Verlauf) einer separaten Berichtserweiterung bereit, die innerhalb der App läuft und die Bildschirmzeit-Seite, den Startbildschirm und die Teilen-Karte zeichnet. Apple hat diese Erweiterung so gestaltet, dass die von ihr empfangenen Daten niemals vom Rest der App gelesen oder irgendwohin übertragen werden können; die Erweiterung hat keinen Netzwerkzugriff. Ihr Brain-Health-Score wird innerhalb dieser Erweiterung aus Ihrer Bildschirmzeit, dem von Ihnen gewählten Schwierigkeitsgrad und den heute verdienten Aufgabenpunkten berechnet. Der Score selbst verlässt Ihr Gerät nie. Die App schreibt lediglich Daten wie Ihre Aufgabenpunkte, Ihren Schwierigkeitsgrad und Ihre Auswahl ausgenommener Apps in einen gemeinsamen Speicherbereich auf Ihrem Gerät, damit die Erweiterung sie lesen kann. Ihr gewählter Schwierigkeitsgrad und Ihre App-Öffnungs-Serie werden auf Ihrem Gerät gespeichert.

Über die Teilen-Karte können Sie ein Bild Ihrer eigenen Statistiken (Bildschirmzeit, Serie und Brain Health) über das iOS-Teilen-Menü exportieren. Das Teilen ist allein Ihre Entscheidung; wir erhalten und speichern das Bild nicht.

Zweck: Anzeige Ihrer Bildschirmzeit und Ihres Brain-Health-Scores.

Rechtsgrundlage: Einwilligung (Bildschirmzeit-Berechtigung); Vertragserfüllung.

f. Geräte-, Diagnose- und Betriebsdaten

• Lokale Betriebsprotokolle: Wir können technische Ereignisse (z. B. "Abonnement aktualisiert") lokal auf Ihrem Gerät über Apples `os.log`-System protokollieren. Diese lokalen Protokolle werden nicht vom Gerät übertragen.
• Backend-Betriebsprotokolle: Unser Backend kann bei der Verarbeitung von Anfragen technische Protokolle erzeugen, darunter Zeitstempel, Endpunktnamen, Status- oder Fehlercodes, Anfragekennungen, Nutzer- oder Kontokennungen sowie begrenzte Anfrage-/Antwortdetails, die zur Fehlerdiagnose erforderlich sind. Bei der Fotoverifizierung können Protokolle den Aufgabentitel, von der KI erkannte Objekte oder Szenenbeschreibungen, Verifizierungsgründe, KI-Rohantworten und Fehlermeldungen enthalten.
• Absturz- und Nutzungsberichte von Apple: Wenn Sie in Ihren iOS-Einstellungen der Weitergabe von Diagnosedaten an App-Entwickler zugestimmt haben, kann Apple uns über die App-Store-Entwicklerwerkzeuge aggregierte Absturzberichte bereitstellen. Diese unterliegen der Datenschutzerklärung von Apple; wir betreiben kein eigenes Crash-Reporting-SDK.

Zweck: Fehlerdiagnose, Aufrechterhaltung von Stabilität und Sicherheit.

Rechtsgrundlage: berechtigte Interessen.

g. Mitteilungen

Wenn Sie die Berechtigung für Mitteilungen erteilen, planen wir lokale Mitteilungen auf Ihrem Gerät (z. B. Aufgabenerinnerungen, ein Hinweis beim Öffnen einer blockierten App, Ablauf des Pausen-Timers). Inhalt und Zeitpunkt dieser Mitteilungen werden auf Ihrem Gerät gespeichert. Alle Mitteilungen sind lokal auf Ihrem Gerät; wir versenden keine Remote-Push-Mitteilungen.

Zweck: Bereitstellung von Erinnerungen und kontextbezogener Unterstützung.

Rechtsgrundlage: Einwilligung.

h. Produktanalyse

Wir setzen PostHog für die Produktanalyse ein — welche Onboarding-Schritte Sie erreichen, an welcher Stelle Menschen abbrechen, wie sich Abonnementoptionen bewähren und wie Sie die Funktionen der App nach dem Onboarding nutzen —, damit wir den Dienst verbessern können. Erhoben wird:

• Produktnutzungsereignisse, die wir bewusst senden: die von Ihnen erreichten Onboarding-Schritte, Ihre Interaktionen mit den Abonnementbildschirmen (etwa das Ansehen eines Tarifs, der Beginn eines Kaufs und das Kaufergebnis — einschließlich des angezeigten Preises und der Währung) sowie Tippen auf die von der App geplanten Erinnerungsmitteilungen; außerdem, wie Sie die App selbst nutzen: welche Bildschirme Sie öffnen und wie lange, welche Aufgaben Sie beginnen, verifizieren und abschließen (nach Aufgabentyp, niemals der Titel oder die Beschreibung einer von Ihnen erstellten Aufgabe), ob eine Foto- oder Lächel-Prüfung angenommen oder abgelehnt wurde und welche Begründung Ihnen angezeigt wurde, Ergebnisse zeitbasierter Sitzungen und von Übungszählern (Anzahl, Dauer, Punkte), ob die App-Blockierung aktiviert ist und wie viele Apps oder Kategorien Sie ausgewählt haben (niemals welche), wie oft der Blockierungs-Schild erschienen ist und ob Sie dessen Schaltfläche angetippt haben, welche Intervention Ihnen angezeigt wurde und wie sie endete (zum Beispiel ob Sie eine Pause eingelegt haben und wie lange), den von Ihnen gewählten Interventionsstil, die von Ihnen gespeicherten Blockierlisten und Zeitpläne (wie viele Apps und welche Wochentage, niemals welche Apps), die Anzahl der von Brain Health ausgenommenen Apps, Ihren Brain-Health-Schwierigkeitsgrad, Serien-Belohnungen, das Öffnen der Teilen-Karte, das tägliche Zurücksetzen der Punkte, Interaktionen mit dem Fortschrittsbildschirm, Änderungen an Einstellungen, Berechtigungsentscheidungen (Bildschirmzeit, Mitteilungen) sowie Kontoaktionen (Registrierung, Anmeldung, Abmeldung, Löschung). Einige Statusmerkmale werden Ihrem Analyseprofil beigefügt: Ihr Abonnementprodukt, ob die App-Blockierung aktiviert ist sowie Ihre aktuelle Serie und Ihr Punkteguthaben. Außerdem erhalten wir bei jeder Nutzung der App standardmäßige App-Lebenszyklusereignisse (etwa das Öffnen oder Wechseln der App in den Hintergrund) sowie grundlegenden technischen Kontext zu diesen Ereignissen — App-Version und -Build, Ihr Gerätemodell und -typ, Name und Version des Betriebssystems, Sprache/Region und Zeitzone, Bildschirmabmessungen, Art der Netzwerkverbindung (WLAN oder Mobilfunk) und eine Sitzungskennung. Sofern verfügbar, werden Ihrem Analyseprofil zudem Kampagnen-Attributionsinformationen von AppsFlyer beigefügt (etwa das Werbenetzwerk und die Kampagne, über die Sie zur App gekommen sind — siehe Abschnitt 2.i). Wir erkennen außerdem automatisch schnelle wiederholte Tipp-Vorgänge überall in der App und erfassen in diesem Fall, auf welchem Bildschirm dies geschah, die Tipp-Position und die Art des angetippten Bedienelements (gelegentlich einschließlich der sichtbaren Beschriftung einer angetippten Schaltfläche), um fehlerhafte oder verwirrende Bildschirme zu finden. Wir zeichnen Ihren Bildschirm nicht auf und spielen ihn nicht wieder ab.

Diese Daten sind pseudonym — sie sind mit Ihrer App-Kontokennung verknüpft, enthalten jedoch nicht Ihren Namen, Ihre E-Mail-Adresse oder von Ihnen eingegebene Freitextinhalte. Der Onboarding-Fragebogen fragt keine besonderen Kategorien personenbezogener Daten ab. Den Ereignissen kann ein ungefährer Standort (Land, Region, Stadt) beigefügt werden, der zum Zeitpunkt des Ereignisses aus Ihrer IP-Adresse abgeleitet wird; die IP-Adresse selbst wird nicht gespeichert. Die Analysedaten werden in der Europäischen Union (Frankfurt, Deutschland) gehostet.

Wir verwenden diese Daten ausschließlich für unsere eigene Produktanalyse. Wir verkaufen sie nicht, geben sie nicht an Datenhändler weiter und nutzen sie nicht für Werbung.

Zweck: Verstehen und Verbessern des Onboarding-, Abonnement- und In-App-Erlebnisses.

Rechtsgrundlage: berechtigte Interessen, abgewogen gegen Ihre Rechte. Sie können dieser Verarbeitung jederzeit per E-Mail an support@doerpal.com widersprechen; wir löschen dann die mit Ihrem Konto verknüpften Analysedaten.

i. Werbeattribution (AppsFlyer)

Wir bewerben BrainMaxx auf Werbeplattformen (zum Beispiel TikTok, Meta und Google). Um zu verstehen, welche Werbekampagnen Menschen zur App bringen — und um unser Werbebudget verantwortungsvoll einzusetzen —, nutzen wir AppsFlyer, einen Anbieter für mobile Messung (Attribution). AppsFlyer hilft uns, eine einzige Frage zu beantworten: "Stammt diese Installation oder dieses Abonnement aus einer unserer Anzeigen?" Wir zeigen keine Werbung innerhalb der App.

App Tracking Transparency (unübersetzt) (ATT). Während des Onboardings fragt die App Ihre Erlaubnis im Rahmen von Apples App-Tracking-Transparency-Framework ab. Ihre Entscheidung ist maßgeblich:

• Wenn Sie das Tracking erlauben, gibt die App den Werbe-Identifikator Ihres Geräts (IDFA) an AppsFlyer weiter, damit Ihre Installations- und Abonnementereignisse der konkreten Anzeige zugeordnet werden können, mit der Sie interagiert haben. AppsFlyer kann das Attributionsergebnis — einschließlich Gerätekennungen und App-Ereignissen wie Abonnementkäufen und deren Wert, soweit zulässig — an das Werbenetzwerk weitergeben, das Ihnen die Anzeige ausgespielt hat, damit wir und dieses Netzwerk die Kampagnenleistung messen und optimieren können.
• Wenn Sie das Tracking ablehnen (oder die Abfrage ignorieren), ist die IDFA nicht verfügbar und wird nicht weitergegeben. Wir erhalten aggregierte, anonyme Kampagnenstatistiken über Apples datenschutzfreundliches SKAdNetwork-Framework, das Sie oder Ihr Gerät nicht identifizieren kann. Darüber hinaus können App-Ereignisse ohne jeden Werbe-Identifikator — zusammen mit den nachstehend beschriebenen technischen Daten wie IP-Adresse und Gerätemodell — zur Kampagnenmessung an Werbenetzwerke weitergegeben werden, soweit zulässig. Soweit diese Weitergabe Ihrer Einwilligung bedarf (zum Beispiel im EWR oder im Vereinigten Königreich), leiten wir Ihre ATT-Entscheidung als Einwilligungssignal weiter; eine Ablehnung unterbindet die Weitergabe.

Von AppsFlyer verarbeitete Daten (abhängig von Ihrer ATT-Entscheidung):

• Gerätekennungen: die IDFA (nur mit Ihrer ATT-Erlaubnis), der Identifier for Vendor (IDFV) und eine von AppsFlyer zufällig erzeugte Installationskennung.
• Unsere pseudonyme App-Kontokennung (damit Installations- und Abonnementereignisse demselben Datensatz zugeordnet werden). Diese enthält weder Ihren Namen noch Ihre E-Mail-Adresse noch von Ihnen in der App erstellte Inhalte.
• Technische Daten: IP-Adresse (aus der ein ungefährer Standort auf Stadtebene abgeleitet werden kann), Gerätemodell, Betriebssystemversion und App-Version.
• App-Ereignisse: erster Start (Installation), Öffnen der App und Abonnementereignisse (Beginn einer kostenlosen Testphase, Kauf, Verlängerung — einschließlich Produktkennung und Preis). Abonnementereignisse werden serverseitig von RevenueCat, unserem Abonnementdienstleister, an AppsFlyer weitergeleitet.

AppsFlyer verarbeitet diese Daten ausschließlich in unserem Auftrag und nutzt sie nicht für eigene Zwecke; AppsFlyer ist weder ein Werbenetzwerk noch ein Datenhändler und verkauft keine Endnutzerdaten. Wir leiten Ihren Einwilligungsstatus (Ihre ATT-Entscheidung) an AppsFlyer weiter, damit dieser ihn nach der DSGVO und dem Digital Markets Act der EU beachten kann.

Zweck: Messung, welche Werbekampagnen zu Installationen und Abonnements führen; korrekte Vergütung von Werbepartnern.

Rechtsgrundlage: Einwilligung (identifikatorbasierte Attribution über die ATT-Abfrage); berechtigte Interessen (aggregierte, nicht identifizierende SKAdNetwork-Kampagnenmessung sowie, soweit keine Einwilligung erforderlich ist, identifikatorfreie Kampagnenmessung). Sie können die ATT-Einwilligung jederzeit unter iOS-Einstellungen → Datenschutz & Sicherheit → Tracking widerrufen und der identifikatorfreien Kampagnenmessung per E-Mail an support@doerpal.com widersprechen.

j. Support und Feedback

Wenn Sie den Support kontaktieren oder über die App bzw. unsere Website Feedback senden, erheben wir die von Ihnen verfasste Nachricht und — sofern Sie sie angeben — Ihre E-Mail-Adresse, zusammen mit Ihrer Kontokennung, der App-Version, der iOS-Version, dem Gerätemodell und der IP-Adresse (zur Missbrauchsprävention). Feedback wird über Resend, unseren E-Mail-Zustelldienstleister (siehe Abschnitt 5), an unser Support-Postfach zugestellt und in unserem Backend gespeichert. Support- und Feedback-Datensätze werden auch nach einer Kontolöschung aufbewahrt, damit wir den Supportverlauf dokumentieren und Missbrauch verhindern können.

Zweck: Beantwortung Ihrer Fragen, Behebung gemeldeter Probleme, Missbrauchsprävention.

Rechtsgrundlage: berechtigte Interessen; Vertragserfüllung (soweit Ihre Anfrage Ihr Konto oder Ihre Käufe betrifft).

k. Was wir nicht erheben

• Abgesehen von der in Abschnitt 2.h beschriebenen Produktanalyse und der in Abschnitt 2.i beschriebenen Werbeattribution setzen wir keine Analyse- oder Werbe-SDKs Dritter ein (kein Google Analytics, kein Firebase Analytics, kein Mixpanel, kein Amplitude, kein Meta Pixel).
• Wir zeigen keine Werbung innerhalb der App. Die einzigen an Werbeplattformen weitergegebenen Daten sind die in Abschnitt 2.i beschriebenen Daten zur Kampagnenmessung (Attribution); Ihr Werbe-Identifikator (IDFA) wird ausschließlich mit Ihrer App-Tracking-Transparency-Erlaubnis weitergegeben.
• Wir erheben weder Ihren Bildschirmzeitverlauf noch Ihren Brain-Health-Score; beide werden ausschließlich in der in Abschnitt 2.e beschriebenen geräteinternen Berichtserweiterung verarbeitet. Wir erheben nicht die vollständige Liste Ihrer installierten Apps und keine Informationen darüber, was Sie in anderen Apps tun.
• Wir erheben keine genauen Standortdaten. (Ein ungefährer Standort auf Stadtebene kann, wie oben beschrieben, für Attribution und Analyse aus Ihrer IP-Adresse abgeleitet werden.)
• Wir zeichnen Ihren Bildschirm nicht auf und spielen ihn nicht wieder ab.
• Wir verkaufen oder vermieten Ihre personenbezogenen Daten an niemanden.

3. Wie wir Ihre Daten verwenden

Wir verwenden die erhobenen Daten zu folgenden Zwecken:

• Bereitstellung des Dienstes: Führung Ihres Kontos, Synchronisierung Ihrer Aufgaben und Ihres Fortschritts; Verifizierung foto- und lächelbasierter Aufgabenabschlüsse; Betrieb der App-Blockierung, der Interventionen und der Pausen.
• Abonnementverwaltung: Abwicklung von Käufen, Wiederherstellung von Berechtigungen, Versand von Verlängerungshinweisen, Erkennung von Erstattungen und Beantwortung der Erstattungsanfragen von Apple, wenn Sie bei Apple eine Erstattung beantragen (siehe Abschnitt 2.c).
• Verbesserung des Dienstes: Fehlerdiagnose über Betriebsprotokolle; Verstehen, wie Menschen das Onboarding durchlaufen und die Funktionen der App nutzen, über PostHog (siehe Abschnitt 2.h), einschließlich gelegentlicher Tests unterschiedlicher Versionen unserer Abonnementbildschirme und Preise bei verschiedenen Nutzerinnen und Nutzern — die Ihnen angezeigte Version wird mit Ihrem Konto und Ihren Analysedaten erfasst; Auswertung aggregierter, technischer Zuverlässigkeitskennzahlen.
• Werbemessung: Verstehen, welche Werbekampagnen Nutzerinnen und Nutzer zu BrainMaxx bringen (siehe Abschnitt 2.i). Wir verwenden Ihre Inhalte aus der App (Aufgaben, Fotos, Onboarding-Antworten) nicht für Werbung und bilden keine verhaltensbasierten Marketingprofile aus Ihrer Nutzung der App.
• Recht und Sicherheit: Durchsetzung unserer Allgemeinen Geschäftsbedingungen, Einhaltung gesetzlicher Vorgaben, Verhinderung von Missbrauch und Betrug, Schutz unserer und Ihrer Rechte.

4. Fotos, Kamera und KI-Verarbeitung — im Detail

Da die App KI in möglicherweise sensiblen Zusammenhängen einsetzt, erläutern wir diese Abläufe gesondert:

a. Fotoverifizierung

Wenn Sie ein Foto zur Verifizierung einer Aufgabe aufnehmen:

• Das Foto wird von der App auf Ihrem Gerät aufgenommen.
• Die App verkleinert das Bild auf maximal 1024×1024 Pixel und wendet eine JPEG-Komprimierung an.
• Das komprimierte Bild wird über unser Backend (Supabase Edge Functions) an unseren KI-Anbieter OpenRouter gesendet, der die Anfrage zur Analyse an ein KI-Modell weiterleitet. Das konkrete KI-Modell kann sich im Laufe der Zeit ändern, um Zuverlässigkeit, Sicherheit, Kosten oder Leistung zu verbessern.
• Das KI-Modell liefert ein strukturiertes Verifizierungsergebnis zurück (eine Ja/Nein-Entscheidung und eine kurze Begründung), das beschreibt, ob das Foto plausibel zur Aufgabe passt.
• Wir speichern ausschließlich das Verifizierungsergebnis — nicht das Foto selbst — in unserer Datenbank.
• Die temporäre Kopie des Fotos auf Ihrem Gerät wird gelöscht, sobald die Verifizierungsanfrage abgeschlossen ist.

Bei "beobachteten" Zeitaufgaben läuft derselbe Ablauf während der Sitzung automatisch in Intervallen ab statt bei einem einzelnen Antippen; gespeichert wird nur das Ergebnis (bestanden/nicht bestanden).

Der Titel der Aufgabe wird zusammen mit dem Foto übermittelt, damit das KI-Modell weiß, worauf es achten soll. Wenn Sie eine eigene Fotoaufgabe erstellen oder umbenennen, wird ihr Titel außerdem (ohne Foto) übermittelt, um eine kurze Beschreibung zu erzeugen, was ein passendes Foto zeigen sollte; diese Beschreibung wird mit der Aufgabe gespeichert.

Wir speichern das Foto nicht auf unseren Servern und verwenden Ihre Fotos nicht zum Training von KI-Modellen. Während der Verarbeitung gelten die Datenschutz- und Speicherrichtlinien von OpenRouter und der jeweils einbezogenen Modellanbieter. Siehe:

• OpenRouter: https://openrouter.ai/privacy

b. Lächel-Verifizierung

Die Lächelerkennung erfolgt vollständig auf Ihrem Gerät über Apples Core Image / Vision Frameworks. Das Bild wird nicht vom Gerät übertragen, nicht an Dritte gesendet und nicht auf unseren Servern gespeichert. Wir erzeugen oder speichern keine Gesichtsvorlagen und keine biometrischen Identifikatoren.

c. Übungszählung (Liegestütze, Kniebeugen, Planke)

Manche Aufgaben zählen Wiederholungen oder messen die Dauer einer Halteübung über die Kamera Ihres Geräts und Apples Vision-Framework zur Körperhaltungserkennung. Die gesamte Haltungserkennung erfolgt vollständig auf Ihrem Gerät; das Kamerabild wird nicht vom Gerät übertragen, nicht an Dritte gesendet und nicht auf unseren Servern gespeichert. Wir speichern ausschließlich die daraus resultierende Anzahl oder Dauer. Wir führen keine Identitätserkennung durch und erstellen keine biometrischen Identifikatoren.

d. Videoanruf-Intervention

Eine Intervention zeigt Ihre Frontkamera wie bei einem Videoanruf auf dem Bildschirm, während Ihr Gehirn mit Ihnen spricht. Das Kamerabild ist ausschließlich eine Live-Vorschau. Es werden keine Einzelbilder aufgenommen, gespeichert, analysiert oder übertragen, und es wird kein Mikrofon verwendet.

5. Externe Dienstleister

Wir setzen die folgenden Dienstleister ("Auftragsverarbeiter") ein, die sich uns gegenüber jeweils vertraglich verpflichtet haben, Daten nur nach unseren Weisungen zu verarbeiten und angemessene Sicherheitsmaßnahmen einzuhalten:

Wir verkaufen oder vermieten personenbezogene Daten nicht an Dritte. Abgesehen von der in Abschnitt 2.h beschriebenen Produktanalyse und der in Abschnitt 2.i beschriebenen Werbeattribution setzen wir keine Werbe- oder Marketing-Analyse-Partner ein. Soweit Attributionsergebnisse an das Werbenetzwerk weitergegeben werden, das Ihnen eine Anzeige ausgespielt hat (Abschnitt 2.i), ist dieses Netzwerk insoweit eigenständig Verantwortlicher nach seiner eigenen Datenschutzerklärung.

6. Internationale Datenübermittlungen

Wir haben unseren Sitz in Deutschland, der Dienst nutzt jedoch Auftragsverarbeiter in den Vereinigten Staaten und weiteren Ländern, darunter das Supabase-Hosting in West US (North California). Bei der Übermittlung von Daten an Auftragsverarbeiter außerhalb des EWR (etwa OpenRouter, KI-Modellanbieter, RevenueCat, Resend, Apple und Supabase) stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission, gegebenenfalls auf das UK International Data Transfer Addendum sowie auf ergänzende Maßnahmen wie Verschlüsselung bei der Übertragung und im Ruhezustand. AppsFlyer Ltd. hat seinen Hauptsitz in Israel, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht; soweit AppsFlyer Unterauftragsverarbeiter außerhalb des EWR einsetzt, werden die Übermittlungen durch Standardvertragsklauseln abgesichert.

Mit der Nutzung des Dienstes nehmen Sie zur Kenntnis, dass Ihre Daten in Länder übermittelt und dort verarbeitet werden können, deren Datenschutzrecht von dem Ihres Landes abweicht.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die oben beschriebenen Zwecke erforderlich ist:

• Kontodaten, Aufgaben, Onboarding-Antworten, Punktetransaktionen, Pausenzeit-Summen, Abonnementdaten: für die Lebensdauer Ihres Kontos.
• Fotos zur Aufgabenverifizierung: keine Speicherung auf unseren Servern (Verarbeitung nur im Durchlauf).
• Produktanalyse (PostHog): zwölf (12) Monate.
• Werbeattributionsdaten (AppsFlyer): für die Dauer unserer Werbekampagnen, entsprechend der Speicherrichtlinie von AppsFlyer; auf Anfrage früher gelöscht (siehe den Abschnitt zu Ihren Rechten unten).
• Backend-Betriebsprotokolle: nur so lange, wie dies für Fehlersuche, Sicherheit, Missbrauchsprävention und Dienstzuverlässigkeit vernünftigerweise erforderlich ist, anschließend gelöscht oder anonymisiert entsprechend den Speichereinstellungen unseres Anbieters.
• Webhook-Nutzdaten zu Abonnements: zwölf (12) Monate, danach gelöscht.
• Datensätze zur Fotoverifizierung: die KI-Rohantwort im Textformat wird nach neunzig (90) Tagen aus unserer Datenbank gelöscht; das Verifizierungsergebnis wird für die Lebensdauer Ihres Kontos aufbewahrt.
• Support- und Feedback-Nachrichten: die IP-Adresse der absendenden Person wird nach neunzig (90) Tagen gelöscht; die Nachricht selbst wird aufbewahrt (siehe Abschnitt 2.j).
• Zähler zur Ratenbegrenzung: bis zu dreißig (30) Tage, danach gelöscht. Kurzfristige Zähler pro IP-Adresse werden nach zwei (2) Tagen gelöscht.
• Backups: von Supabase erstellte inkrementelle Datenbank-Backups werden gemäß der Standardrichtlinie von Supabase aufbewahrt und im Rotationsverfahren gelöscht.

Wenn Sie Ihr Konto löschen (Einstellungen → Mein Konto löschen oder per E-Mail an support@doerpal.com), löschen wir Ihre Datensätze aus unserer Datenbank und weisen RevenueCat an, Ihren Kundendatensatz zu löschen. Die Löschung erstreckt sich auf alle zugehörigen Tabellen (Aufgaben, Punktetransaktionen, Abonnementdaten). Rohe Webhook-Nutzdaten zu Abonnements sind nicht mit Ihrem Kontodatensatz verknüpft und werden nach dem oben beschriebenen Zwölf-Monats-Zeitplan gelöscht. Auf Anfrage weisen wir außerdem AppsFlyer an, den mit Ihrem Gerät bzw. Konto verknüpften Attributionsdatensatz zu löschen. Support- und Feedback-Nachrichten werden nach einer Kontolöschung aufbewahrt (siehe Abschnitt 2.j). Anonymisierte, aggregierte Informationen, die Sie nicht identifizieren, können unbegrenzt aufbewahrt werden.

Hinweis: Das Löschen der App oder das Abmelden löscht Ihr Konto nicht automatisch. Sie müssen das Konto ausdrücklich löschen.

8. Ihre Rechte

Nach Maßgabe des anwendbaren Rechts stehen Ihnen in Bezug auf Ihre personenbezogenen Daten die folgenden Rechte zu:

• Auskunftsrecht — Sie können eine Kopie der personenbezogenen Daten anfordern, die wir über Sie speichern.
• Berichtigung — Sie können unrichtige oder unvollständige Daten berichtigen lassen (die meisten Daten können Sie direkt in der App ändern).
• Recht auf Löschung — Sie können die Löschung Ihres Kontos und Ihrer personenbezogenen Daten verlangen.
• Einschränkung der Verarbeitung — Sie können verlangen, dass wir die Verarbeitung Ihrer Daten einschränken.
• Datenübertragbarkeit — Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
• Widerspruchsrecht — Sie können einer Verarbeitung widersprechen, die auf berechtigte Interessen gestützt ist.
• Widerruf der Einwilligung — für jede auf Einwilligung gestützte Verarbeitung (z. B. Mitteilungen, Kamera, Family Controls, Tracking zu Werbezwecken). Sie können die Tracking-Einwilligung jederzeit unter iOS-Einstellungen → Datenschutz & Sicherheit → Tracking widerrufen.
• Keine automatisierte Entscheidungsfindung — wir treffen Ihnen gegenüber keine ausschließlich automatisierten Entscheidungen, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Die KI-Fotoverifizierung hat rein informatorischen Charakter; Sie können den Vorgang wiederholen, die Verifizierung überspringen oder uns kontaktieren, um ein Ergebnis zu beanstanden.
• Beschwerde bei einer Aufsichtsbehörde — bei der für Sie zuständigen Aufsichtsbehörde (siehe den nachstehenden Abschnitt zu betroffenen Personen in der EU, im EWR und im Vereinigten Königreich).

Zur Ausübung dieser Rechte nutzen Sie bitte die Einstellungen in der App (Abmeldung und Kontolöschung sind dort verfügbar) oder schreiben Sie an support@doerpal.com. Wir antworten innerhalb eines Kalendermonats; bei komplexen Anfragen kann sich diese Frist nach den gesetzlichen Vorgaben um zwei weitere Monate verlängern.

Einwohnerinnen und Einwohner Kaliforniens (CCPA / CPRA)

Wenn Sie in Kalifornien ansässig sind, haben Sie das Recht auf Kenntnis, Zugang, Berichtigung und Löschung, das Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten, das Recht auf Widerspruch gegen den "Verkauf" oder das "Teilen" von Daten sowie das Recht, wegen der Ausübung Ihrer Rechte nicht benachteiligt zu werden. Wir verkaufen Ihre personenbezogenen Daten nicht. Wie in Abschnitt 2.i beschrieben, geben wir Gerätekennungen und Daten zur Kampagnenmessung an unseren Attributionsdienstleister weiter, und Attributionsdaten (einschließlich App-Ereignissen wie Abonnementkäufen) können zur Werbemessung an Werbenetzwerke weitergegeben werden — Ihr Werbe-Identifikator (IDFA) ausschließlich mit Ihrer App-Tracking-Transparency-Erlaubnis. Soweit dies ein "Teilen" für kontextübergreifende verhaltensbasierte Werbung im Sinne des CCPA/CPRA darstellt, können Sie dem identifikatorbasierten Teilen jederzeit widersprechen, indem Sie die App-Tracking-Transparency-Abfrage ablehnen oder das Tracking unter iOS-Einstellungen → Datenschutz & Sicherheit → Tracking deaktivieren; dem gesamten Teilen von Attributionsdaten können Sie per E-Mail an support@doerpal.com widersprechen. Die Kategorien personenbezogener Daten, die wir erheben und an Auftragsverarbeiter weitergeben, sind in Abschnitt 2 beschrieben.

Zur Ausübung Ihrer Rechte nach CCPA / CPRA schreiben Sie bitte an support@doerpal.com. Wir prüfen Ihre Identität anhand der mit Ihrem Konto verknüpften E-Mail-Adresse.

Betroffene Personen in der EU, im EWR und im Vereinigten Königreich

Ihnen stehen die in den Art. 15–22 DSGVO geregelten Rechte zu. Sie können Beschwerde bei der Datenschutzbehörde Ihres EU-Mitgliedstaats, beim Information Commissioner's Office des Vereinigten Königreichs (ICO, https://ico.org.uk) oder beim schweizerischen EDÖB einlegen.

Da wir unseren Sitz in Deutschland haben, ist die zuständige Aufsichtsbehörde die Datenschutzbehörde des Bundeslandes, in dem sich unsere Geschäftsanschrift befindet: Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen. Sie können sich darüber hinaus an die Aufsichtsbehörde Ihres EU-Mitgliedstaats, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes wenden. Eine Liste der europäischen Datenschutzbehörden finden Sie unter https://edpb.europa.eu/about-edpb/about-edpb/members_en. Nutzerinnen und Nutzer im Vereinigten Königreich können sich an das Information Commissioner's Office unter https://ico.org.uk wenden.

9. Datenschutz von Kindern und Jugendlichen

Der Dienst richtet sich nicht an Kinder unter 13 Jahren; Sie müssen mindestens 13 Jahre alt sein, um ihn zu nutzen (siehe unsere Allgemeinen Geschäftsbedingungen). Wenn Sie sich in der Europäischen Union befinden und unter 16 Jahre alt sind (das Alter der digitalen Einwilligungsfähigkeit in Deutschland und mehreren weiteren Mitgliedstaaten), bedarf jede auf Ihrer Einwilligung beruhende Verarbeitung der Zustimmung eines Elternteils oder einer bzw. eines Erziehungsberechtigten. Erfahren wir, dass wir personenbezogene Daten eines Kindes unter 13 Jahren erhoben haben, löschen wir das betreffende Konto und dessen Daten. Eltern und Erziehungsberechtigte können uns unter support@doerpal.com kontaktieren.

10. Sicherheit

Wir setzen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten ein, darunter:

• TLS 1.2+ für sämtlichen Netzwerkverkehr.
• Verschlüsselung im Ruhezustand für unsere Backend-Datenbank (bereitgestellt durch Supabase).
• Row-Level-Security-Richtlinien, die den Zugriff auf Ihre eigenen Datensätze beschränken.
• Serverseitige Ratenbegrenzung zur Missbrauchsprävention.
• Verwaltung von Geheimnissen für API-Schlüssel Dritter (OpenRouter, RevenueCat).
• Beschränkter und protokollierter Zugriff auf Produktivsysteme.

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein Risiko für Ihre Rechte und Freiheiten mit sich bringt, melden wir dies innerhalb von 72 Stunden nach Kenntniserlangung der zuständigen Aufsichtsbehörde — Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen — und informieren die betroffenen Nutzerinnen und Nutzer unverzüglich.

Kein System ist zu 100 % sicher. Sie sind dafür verantwortlich, Ihr Gerät, Ihre Apple-ID und Ihre Zugangsdaten sicher aufzubewahren. Wenn Sie vermuten, dass Ihr Konto kompromittiert wurde, kontaktieren Sie uns bitte umgehend unter support@doerpal.com.

11. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen des Dienstes, unserer Auftragsverarbeiter oder des anwendbaren Rechts abzubilden. Bei Änderungen aktualisieren wir das Datum "Zuletzt aktualisiert" am Anfang dieses Dokuments und veröffentlichen die überarbeitete Fassung in der App und auf unserer Website. Soweit das anwendbare Recht für eine bestimmte Änderung ausdrücklich eine individuelle Benachrichtigung verlangt, nehmen wir diese vor. Ihre fortgesetzte Nutzung des Dienstes nach Veröffentlichung der aktualisierten Fassung gilt als Zustimmung zu den Änderungen.

Sprache: Diese Datenschutzerklärung ist in englischer Sprache unter https://brainmaxxapp.com/privacy und in deutscher Sprache unter https://brainmaxxapp.com/de/privacy verfügbar. Für betroffene Personen mit gewöhnlichem Aufenthalt in Deutschland ist die deutsche Fassung verbindlich und geht im Konfliktfall vor. Für alle übrigen Nutzerinnen und Nutzer geht die englische Fassung vor.

12. Kontakt

Verantwortlicher im Sinne der DSGVO ist Juan Vizoso Prado - JV Studio, Einzelunternehmen.

• E-Mail: support@doerpal.com
• Postanschrift: August Bebel Allee 3, 28329 Bremen, Deutschland
• Website: https://www.jvstudio.org/