Datenschutzerklärung
Stand: 10. Oktober 2026
1. Verantwortlicher
Stefan Renzler, Donaueschingenstraße 28/45-46, 1200 Wien, Österreich — stubensport@gmail.com — ist Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten im Rahmen von Ovulyx.
2. Welche Daten wir verarbeiten und warum
Zyklus- und Gesundheitsdaten sind eine „besondere Kategorie personenbezogener Daten" nach Art. 9 DSGVO. Wir verarbeiten sie ausschließlich mit deiner ausdrücklichen Einwilligung — bei der Kontoerstellung bestätigst du dies über eine eigene, gesondert formulierte Checkbox (getrennt von der AGB-Zustimmung, ausdrücklich auf die Verarbeitung von Zyklus- und Gesundheitsdaten nach Art. 9 DSGVO bezogen), ohne die ein Konto technisch nicht angelegt werden kann. Jederzeit widerrufbar durch Löschung deines Kontos.
| Datenart | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse, Passwort (gehasht) | Konto-Erstellung, Login, Passwort-Zurücksetzen | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Anzeigename (freiwillig, in den Einstellungen festlegbar) | Anzeige gegenüber deinem verbundenen Partner (z. B. „Neue Reaktion von …") | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Periodendaten (inkl. optionalem Periodenende, Blutungsstärke), Tagebucheinträge (Stimmung, Energie, Symptome, Basaltemperatur, Notizen) | Kernfunktion: Zyklus-Tracking & Prognose | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) |
| Periodendaten aus einem optionalen Apple-Health-Import (export.xml, nur Menstruations-Einträge) | Bequemer Datenimport bei Ersteinrichtung, auf eigenen Wunsch | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, Datei wird aktiv von dir ausgewählt) |
| Freigabe-Einstellungen, geteilte Zusammenfassung & Reaktionen zwischen dir und deinem Partner (z. B. „Danke fürs Bescheid geben") | Partner-Freigabe-Funktion, falls aktiviert | Art. 9 Abs. 2 lit. a DSGVO (Einwilligung) |
| Push-Benachrichtigungs-Endpunkt & Verschlüsselungsschlüssel deines Geräts (falls aktiviert) | Erinnerungen (Periode steht bevor, Tagebuch-Eintrag) und Partner-Reaktionen als Benachrichtigung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei Aktivierung) |
| Zahlungsdaten (Kartendaten selbst nie bei uns) | Abo-Abrechnung nach Ablauf der Testphase | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Abo-Status und Kauf-Kennung bei Käufen über den App Store oder Google Play (Kaufverlauf, über RevenueCat) | Freischaltung und Verwaltung deines Abos | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| IP-Adresse (kurzzeitig, zur Missbrauchsabwehr) | Rate-Limiting gegen Brute-Force-Angriffe | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
3. Werbung (ausschließlich nicht-personalisiert) & kein Verkauf
Ovulyx zeigt Werbeanzeigen über Google AdMob (mobile App) und Google AdSense (Web-App) — bewusst ausschließlich nicht-personalisierte Anzeigen, ohne verhaltens- oder interessenbasierte Zielgruppenbildung, gerade weil Ovulyx besondere Kategorien personenbezogener Daten (Gesundheitsdaten) verarbeitet. Dabei können geräte-/browserbezogene Kennungen (z. B. eine Werbe-ID, deine IP-Adresse und der daraus abgeleitete ungefähre Standort), Angaben zur Interaktion mit Anzeigen (z. B. Einblendungen und Klicks) sowie Absturz- und Diagnosedaten des Werbe-SDKs an Google übermittelt werden — technisch notwendig, um Anzeigen auszuliefern, ihre Auslieferung zu messen und Betrug zu verhindern, nicht, um dich über Apps oder Websites hinweg zu verfolgen. Es werden zu keinem Zeitpunkt Zyklus-, Gesundheits- oder sonstige Tagebuchdaten an Werbenetzwerke übermittelt. Kein Google Analytics, kein Meta Pixel o. Ä. Wir verkaufen oder vermieten keine personenbezogenen Daten. Es werden keine Cookies zu Analysezwecken gesetzt — technisch notwendige Sitzungsdaten (Login-Token) werden lokal auf deinem Gerät gespeichert, nicht als Tracking-Cookie.
4. Wer sonst Zugriff auf Daten hat (Auftragsverarbeiter)
Für den Betrieb von Ovulyx setzen wir folgende Dienstleister ein, die Daten ausschließlich in unserem Auftrag verarbeiten:
| Dienstleister | Zweck | Ort der Verarbeitung |
|---|---|---|
| Cloudflare, Inc. | Hosting der App, Datenbank (Cloudflare D1), Ausführung der Server-Logik (Workers) | Region Westeuropa (WEUR) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung für Abos über die Webanwendung | EU / USA (Stripe ist zertifiziert nach EU-Standardvertragsklauseln) |
| Link, LLC (Stripe Managed Payments) | Bei Web-Käufen von außerhalb Österreichs ist Link Verkäuferin (Merchant of Record): Zahlung, Steuerberechnung, Rechnung, Betrugsprävention und Kundensupport zum Kauf. Link verarbeitet dafür Name, E-Mail, Rechnungsadresse und Zahlungsdaten als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung; Gesundheitsdaten aus Ovulyx erhält Link nie. | USA / EU (Standardvertragsklauseln) |
| Resend | Versand von Transaktions-E-Mails (z. B. Passwort-Zurücksetzen) | USA (Standardvertragsklauseln) |
| Push-Zustelldienst deines Browsers (z. B. Google FCM bei Chrome, Mozilla Push Service bei Firefox) | Zustellung von Push-Benachrichtigungen — der Inhalt ist Ende-zu-Ende verschlüsselt (RFC 8291), der Dienst sieht nur, dass irgendeine Nachricht an dein Gerät zugestellt werden soll, nicht deren Inhalt | abhängig vom jeweiligen Anbieter, außerhalb unserer Kontrolle, nur relevant wenn du Benachrichtigungen aktivierst |
| Expo (650 Industries, Inc.) | Zustellung von Push-Benachrichtigungen an die mobile App (nutzt intern dieselben plattformeigenen Push-Dienste wie oben, nur als vermittelnder Relay-Dienst) — nur relevant wenn du Benachrichtigungen aktivierst | USA |
| RevenueCat, Inc. | Abgleich und Verwaltung von App-Store-/Play-Store-Abo-Käufen (Abo-Status, Kauf-Kennung) — nur relevant für Abos, die direkt über den App Store/Play Store abgeschlossen werden | USA |
| Google Ireland Limited (Google AdMob) | Anzeigenauslieferung in der mobilen App, ausschließlich nicht-personalisiert (siehe Punkt 3) | EU/USA, nach Googles Standardvertragsklauseln |
| Google Ireland Limited (Google AdSense) | Anzeigenauslieferung in der Web-App, ausschließlich nicht-personalisiert (siehe Punkt 3) | EU/USA, nach Googles Standardvertragsklauseln |
5. Partner-Freigabe
Aktivierst du die Partner-Freigabe, entscheidest du selbst und jederzeit widerrufbar, welche Informationen eine von dir eingeladene Person sieht: Periodenkalender, Symptome (mit Ausnahme der von dir ausgeblendeten), deine „Was mir hilft"/„Was vermeiden"-Notizen (nur einzeln freigegebene Einträge) sowie — nach deiner Wahl — entweder deine tagesgenaue Stimmung/Energie oder nur den Phasen-Durchschnitt. Freitext-Notizen und deine Basaltemperatur werden grundsätzlich nie an die verbundene Person weitergegeben. Verbundene Partner können dir zusätzlich eine kurze, fest vorgegebene Reaktion schicken (z. B. „Danke fürs Bescheid geben") — diese Reaktionen werden gespeichert, solange die jeweilige Verbindung besteht bzw. bis eines der beiden Konten gelöscht wird.
Ein verbundener Partner kann zusätzlich eine eigene, zyklusunabhängige Liste „Was mir guttut" führen (Einträge „Was hilft"/„Was vermeiden", geordnet nach Situationen). Ein Eintrag wird nur dann an dich weitergegeben, wenn der Partner ihn ausdrücklich freigibt; alles andere bleibt privat. Öffnest du diese Liste oder die dazu passende Zeile unter der Tagesstimmung, wird dem Partner lediglich der Zeitpunkt des letzten Ansehens angezeigt („hat es heute 14:05 gesehen") — nicht, welche Einträge du gelesen hast. Diese Anzeige lässt sich nicht abschalten und wird beim Trennen oder Neuverbinden zurückgesetzt.
6. Speicherdauer
Deine Daten werden gespeichert, solange dein Konto besteht. Löschst du dein Konto über die App, werden alle zugehörigen Daten (Zyklusdaten, Tagebucheinträge, Freigabe-Einstellungen, Partnerverbindungen) unwiderruflich gelöscht. Ein aktives Abo über die Webanwendung wird bei Kontolöschung automatisch gekündigt; ein über Google Play oder den App Store abgeschlossenes Abo musst du selbst im jeweiligen Store kündigen. Rechnungen und Zahlungsbelege werden nach den gesetzlichen Aufbewahrungspflichten aufbewahrt. Details: Konto löschen.
6a. Nutzerinnen und Nutzer außerhalb der EU
Ovulyx wird aus Österreich betrieben und wendet den Maßstab der DSGVO weltweit an: Die Rechte aus Punkt 7 gelten unabhängig davon, wo du lebst. Konto- und Gesundheitsdaten werden in der EU gespeichert (Cloudflare, Region Westeuropa); die in Punkt 4 genannten Dienstleister können Daten auf Grundlage von Standardvertragsklauseln in den USA verarbeiten. Daten werden nie verkauft und nie für personalisierte Werbung genutzt. Je nach Land hast du zusätzlich Rechte nach dortigem Recht (z. B. Vereinigtes Königreich, Schweiz, Australien, Neuseeland, Japan, Singapur, Südkorea); du kannst sie über denselben Kontakt (stubensport@gmail.com) geltend machen, wir antworten innerhalb der jeweils gesetzlich vorgesehenen Frist. Für Nutzerinnen und Nutzer in den USA gilt zusätzlich unsere Consumer Health Data Privacy Policy (Englisch).
6b. Länderspezifische Angaben
- Verfügbarkeit: Aus China (Festland), Russland, Belarus, Iran, Nordkorea, Syrien, Kuba, Afghanistan, dem Irak, Libyen, dem Jemen, Myanmar, Venezuela, der Türkei, Indonesien, Kenia, Nigeria, Saudi-Arabien, Vietnam, Ägypten, Katar, Algerien, Thailand, Kasachstan, Usbekistan und Turkmenistan werden keine neuen Konten angenommen. In den USA, Brasilien und Indien ist Ovulyx erst ab 18 Jahren verfügbar.
- Empfänger im Ausland (u. a. Japan APPI, Südkorea PIPA): Daten werden in der EU gespeichert (Cloudflare, Region Westeuropa) und, soweit für die Zwecke in Punkt 2 nötig, an die Dienstleister aus Punkt 4 übermittelt, teils mit Sitz in den USA (Cloudflare, Resend, Expo, RevenueCat, Stripe/Link, Google). Die USA haben kein umfassendes Bundesdatenschutzgesetz; diese Dienstleister sind an die EU-Standardvertragsklauseln gebunden. Die Übermittlung erfolgt laufend während der Nutzung und endet mit der Löschung des Kontos.
- Aufbewahrung und Vernichtung: Daten werden gespeichert, solange das Konto besteht, und bei Kontolöschung sofort und unwiderruflich gelöscht (Datenbankeinträge werden entfernt, Sicherungen innerhalb von 30 Tagen überschrieben). Rechnungen werden für die gesetzliche Frist aufbewahrt (in Österreich in der Regel 7 Jahre).
- Verantwortliche Person / Datenschutzbeauftragter / Grievance Officer / Encarregado (u. a. Kanada, Brasilien LGPD, Indien DPDP, Südkorea PIPA): Stefan Renzler, stubensport@gmail.com, Donaueschingenstraße 28/45-46, 1200 Wien, Österreich.
- Brasilien (LGPD): Gesundheitsdaten werden auf Grundlage deiner ausdrücklichen Einwilligung verarbeitet (Art. 11 I LGPD); Bestätigung, Auskunft, Berichtigung, Anonymisierung, Übertragbarkeit, Löschung, Information über Weitergaben und Widerruf über den obigen Kontakt, Beschwerde bei der ANPD.
- Indien (DPDP Act): Auskunft, Berichtigung, Löschung, Benennung einer Vertrauensperson und Beschwerden über den obigen Kontakt; ungelöst beim Data Protection Board of India.
7. Deine Rechte
- Auskunft & Datenübertragbarkeit — du kannst deinen vollständigen Datensatz jederzeit unter „Einstellungen → Konto → Daten exportieren" als JSON-Datei herunterladen.
- Löschung — unter „Einstellungen → Konto → Konto endgültig löschen" jederzeit selbst möglich, ohne Wartezeit, oder per E-Mail (siehe Konto löschen).
- Berichtigung — alle Angaben lassen sich direkt in der App ändern.
- Widerspruch/Widerruf der Einwilligung — jederzeit durch Deaktivieren einzelner Funktionen (z. B. Partner-Freigabe) oder Kontolöschung.
- Beschwerde bei einer Aufsichtsbehörde — in Österreich bei der Datenschutzbehörde (dsb.gv.at), oder bei der für deinen Wohnsitz zuständigen Behörde.
8. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert (z. B. neue Funktionen, neue Dienstleister). Die jeweils aktuelle Fassung ist immer unter dieser Adresse abrufbar.