Datenschutzerklärung
Stand: 10. Oktober 2026
1. Verantwortlicher
Stefan Renzler, Donaueschingenstraße 28/45-46, 1200 Wien, Österreich — stubensport@gmail.com — ist Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten im Rahmen von Ovulyx.
2. Welche Daten wir verarbeiten und warum
Zyklus- und Gesundheitsdaten sind eine „besondere Kategorie personenbezogener Daten" nach Art. 9 DSGVO. Wir verarbeiten sie ausschließlich mit deiner ausdrücklichen Einwilligung — bei der Kontoerstellung bestätigst du dies über eine eigene, gesondert formulierte Checkbox (getrennt von der AGB-Zustimmung, ausdrücklich auf die Verarbeitung von Zyklus- und Gesundheitsdaten nach Art. 9 DSGVO bezogen), ohne die ein Konto technisch nicht angelegt werden kann. Jederzeit widerrufbar durch Löschung deines Kontos.
| Datenart | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse, Passwort (gehasht) | Konto-Erstellung, Login, Passwort-Zurücksetzen | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Anzeigename (freiwillig, in den Einstellungen festlegbar) | Anzeige gegenüber deinem verbundenen Partner (z. B. „Neue Reaktion von …") | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Periodendaten (inkl. optionalem Periodenende, Blutungsstärke), Tagebucheinträge (Stimmung, Energie, Symptome, Basaltemperatur, Notizen) | Kernfunktion: Zyklus-Tracking & Prognose | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) |
| Periodendaten aus einem optionalen Apple-Health-Import (export.xml, nur Menstruations-Einträge) | Bequemer Datenimport bei Ersteinrichtung, auf eigenen Wunsch | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, Datei wird aktiv von dir ausgewählt) |
| Freigabe-Einstellungen, geteilte Zusammenfassung & Reaktionen zwischen dir und deinem Partner (z. B. „Danke fürs Bescheid geben") | Partner-Freigabe-Funktion, falls aktiviert | Art. 9 Abs. 2 lit. a DSGVO (Einwilligung) |
| Push-Benachrichtigungs-Endpunkt & Verschlüsselungsschlüssel deines Geräts (falls aktiviert) | Erinnerungen (Periode steht bevor, Tagebuch-Eintrag) und Partner-Reaktionen als Benachrichtigung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei Aktivierung) |
| Zahlungsdaten (Kartendaten selbst nie bei uns) | Abo-Abrechnung nach Ablauf der Testphase | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Abo-Status und Kauf-Kennung bei Käufen über den App Store oder Google Play (Kaufverlauf, über RevenueCat) | Freischaltung und Verwaltung deines Abos | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| IP-Adresse (kurzzeitig, zur Missbrauchsabwehr) | Rate-Limiting gegen Brute-Force-Angriffe | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
3. Werbung (ausschließlich nicht-personalisiert) & kein Verkauf
Ovulyx zeigt Werbeanzeigen über Google AdMob (mobile App) und Google AdSense (Web-App) — bewusst ausschließlich nicht-personalisierte Anzeigen, ohne verhaltens- oder interessenbasierte Zielgruppenbildung, gerade weil Ovulyx besondere Kategorien personenbezogener Daten (Gesundheitsdaten) verarbeitet. Dabei können geräte-/browserbezogene Kennungen (z. B. eine Werbe-ID, deine IP-Adresse und der daraus abgeleitete ungefähre Standort), Angaben zur Interaktion mit Anzeigen (z. B. Einblendungen und Klicks) sowie Absturz- und Diagnosedaten des Werbe-SDKs an Google übermittelt werden — technisch notwendig, um Anzeigen auszuliefern, ihre Auslieferung zu messen und Betrug zu verhindern, nicht, um dich über Apps oder Websites hinweg zu verfolgen. Es werden zu keinem Zeitpunkt Zyklus-, Gesundheits- oder sonstige Tagebuchdaten an Werbenetzwerke übermittelt. Kein Google Analytics, kein Meta Pixel o. Ä. Wir verkaufen oder vermieten keine personenbezogenen Daten. Es werden keine Cookies zu Analysezwecken gesetzt — technisch notwendige Sitzungsdaten (Login-Token) werden lokal auf deinem Gerät gespeichert, nicht als Tracking-Cookie.
4. Wer sonst Zugriff auf Daten hat (Auftragsverarbeiter)
Für den Betrieb von Ovulyx setzen wir folgende Dienstleister ein, die Daten ausschließlich in unserem Auftrag verarbeiten:
| Dienstleister | Zweck | Ort der Verarbeitung |
|---|---|---|
| Cloudflare, Inc. | Hosting der App, Datenbank (Cloudflare D1), Ausführung der Server-Logik (Workers) | Region Westeuropa (WEUR) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung für Abos | EU / USA (Stripe ist zertifiziert nach EU-Standardvertragsklauseln) |
| Resend | Versand von Transaktions-E-Mails (z. B. Passwort-Zurücksetzen) | USA (Standardvertragsklauseln) |
| Push-Zustelldienst deines Browsers (z. B. Google FCM bei Chrome, Mozilla Push Service bei Firefox) | Zustellung von Push-Benachrichtigungen — der Inhalt ist Ende-zu-Ende verschlüsselt (RFC 8291), der Dienst sieht nur, dass irgendeine Nachricht an dein Gerät zugestellt werden soll, nicht deren Inhalt | abhängig vom jeweiligen Anbieter, außerhalb unserer Kontrolle, nur relevant wenn du Benachrichtigungen aktivierst |
| Expo (650 Industries, Inc.) | Zustellung von Push-Benachrichtigungen an die mobile App (nutzt intern dieselben plattformeigenen Push-Dienste wie oben, nur als vermittelnder Relay-Dienst) — nur relevant wenn du Benachrichtigungen aktivierst | USA |
| RevenueCat, Inc. | Abgleich und Verwaltung von App-Store-/Play-Store-Abo-Käufen (Abo-Status, Kauf-Kennung) — nur relevant für Abos, die direkt über den App Store/Play Store abgeschlossen werden | USA |
| Google Ireland Limited (Google AdMob) | Anzeigenauslieferung in der mobilen App, ausschließlich nicht-personalisiert (siehe Punkt 3) | EU/USA, nach Googles Standardvertragsklauseln |
| Google Ireland Limited (Google AdSense) | Anzeigenauslieferung in der Web-App, ausschließlich nicht-personalisiert (siehe Punkt 3) | EU/USA, nach Googles Standardvertragsklauseln |
5. Partner-Freigabe
Aktivierst du die Partner-Freigabe, entscheidest du selbst und jederzeit widerrufbar, welche Informationen eine von dir eingeladene Person sieht: Periodenkalender, Symptome (mit Ausnahme der von dir ausgeblendeten), deine „Was mir hilft"/„Was vermeiden"-Notizen (nur einzeln freigegebene Einträge) sowie — nach deiner Wahl — entweder deine tagesgenaue Stimmung/Energie oder nur den Phasen-Durchschnitt. Freitext-Notizen und deine Basaltemperatur werden grundsätzlich nie an die verbundene Person weitergegeben. Verbundene Partner können dir zusätzlich eine kurze, fest vorgegebene Reaktion schicken (z. B. „Danke fürs Bescheid geben") — diese Reaktionen werden gespeichert, solange die jeweilige Verbindung besteht bzw. bis eines der beiden Konten gelöscht wird.
Ein verbundener Partner kann zusätzlich eine eigene, zyklusunabhängige Liste „Was mir guttut" führen (Einträge „Was hilft"/„Was vermeiden", geordnet nach Situationen). Ein Eintrag wird nur dann an dich weitergegeben, wenn der Partner ihn ausdrücklich freigibt; alles andere bleibt privat. Öffnest du diese Liste oder die dazu passende Zeile unter der Tagesstimmung, wird dem Partner lediglich der Zeitpunkt des letzten Ansehens angezeigt („hat es heute 14:05 gesehen") — nicht, welche Einträge du gelesen hast. Diese Anzeige lässt sich nicht abschalten und wird beim Trennen oder Neuverbinden zurückgesetzt.
6. Speicherdauer
Deine Daten werden gespeichert, solange dein Konto besteht. Löschst du dein Konto über die App, werden alle zugehörigen Daten (Zyklusdaten, Tagebucheinträge, Freigabe-Einstellungen, Partnerverbindungen) unwiderruflich gelöscht. Ein aktives Stripe-Abo wird bei Kontolöschung automatisch gekündigt; ein über Google Play abgeschlossenes Abo musst du selbst in Google Play kündigen. Rechnungen und Zahlungsbelege werden nach den gesetzlichen Aufbewahrungspflichten aufbewahrt. Details: Konto löschen.
7. Deine Rechte
- Auskunft & Datenübertragbarkeit — du kannst deinen vollständigen Datensatz jederzeit unter „Einstellungen → Konto → Daten exportieren" als JSON-Datei herunterladen.
- Löschung — unter „Einstellungen → Konto → Konto endgültig löschen" jederzeit selbst möglich, ohne Wartezeit, oder per E-Mail (siehe Konto löschen).
- Berichtigung — alle Angaben lassen sich direkt in der App ändern.
- Widerspruch/Widerruf der Einwilligung — jederzeit durch Deaktivieren einzelner Funktionen (z. B. Partner-Freigabe) oder Kontolöschung.
- Beschwerde bei einer Aufsichtsbehörde — in Österreich bei der Datenschutzbehörde (dsb.gv.at), oder bei der für deinen Wohnsitz zuständigen Behörde.
8. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert (z. B. neue Funktionen, neue Dienstleister). Die jeweils aktuelle Fassung ist immer unter dieser Adresse abrufbar.