Datenschutzerklärung

Stand: 9. Oktober 2026

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten wir verarbeiten, auf welcher Rechtsgrundlage, mit welchen Dienstleistern und welche Rechte du hast.

Verantwortlicher

Firma:: Dynamic Frameworks UG (haftungsbeschränkt)
Anschrift:: Bad Nauheimer Str. 3
64289 Darmstadt
Vertretungsberechtigter Geschäftsführer:: Christian Castro Büch
Handelsregister:: Amtsgericht Darmstadt, HRB 109499
Kontakt:: christian@dynamic-frameworks.com

Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt. Nach Art. 37 DSGVO + § 38 BDSG: < 20 Mitarbeiter, keine Kerntätigkeit umfangreicher Gesundheitsdatenverarbeitung besteht derzeit keine Bestellpflicht. Datenschutzanfragen richtest du bitte an: christian@dynamic-frameworks.com.

Verarbeitungskategorien

Gesundheitsbezogene Daten

Rechtsgrundlage:: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung)
Zwecke:: Lebensbereiche Gesundheit & Fitness und Geist & Wohlbefinden
Gewohnheiten
Ziele
Abendreflexionen
Diktierte Spracheingabe (Diktierknopf) — die Aufnahme verlässt die EU-Grenze zur Umwandlung in Text
Aufbewahrungsdauer:: Bis zur Kontolöschung oder Widerruf der Einwilligung
Weitergabe an:: Anthropic (wenn AI-Coaching-Einwilligung ebenfalls erteilt), Supabase (Datenspeicherung), Groq (Speech-to-Text für diktierte Spracheingabe, sofern du das Diktierfeature nutzt)

KI-Coaching-Daten

Rechtsgrundlage:: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) + Art. 9 Abs. 2 lit. a (bei gesundheitsbezogenen Inhalten)
Zwecke:: Personalisiertes Coaching
Wochenrückblicke
Auto-Klassifikation
Spracheingabe wird vor der Übergabe an den Coach von Groq in Text umgewandelt
Aufbewahrungsdauer:: Chat-Verlauf bis zur Kontolöschung; Widerruf stoppt neue Verarbeitung
Weitergabe an:: Anthropic, Groq (Transkriptionsschritt, der der Coach-Verarbeitung vorgelagert ist)

Anonyme Nutzungsstatistiken

Rechtsgrundlage:: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Zwecke:: Derzeit keine Erhebung (reservierter Toggle für zukünftige Funktionen)
Aufbewahrungsdauer:: N/A — keine Daten werden derzeit erhoben

Sicherheits-Logging

Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Produktsicherheit + regulatorische Einhaltung EU AI Act Art. 50)
Zwecke:: Mustererkennung auf KI-Coach-Antworten zur Früherkennung von Abweichungen
Stichproben: medizinische Begriffe, Prompt-Leakage, PII-Echo
Aufbewahrungsdauer:: Bis zur Kontolöschung (Protokolltabelle ai_safety_violations)
Weitergabe an:: Supabase (service_role-Zugriff)

Team-Challenge-Teilnahme

Rechtsgrundlage:: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung beim Beitritt)
Zwecke:: Anzeigename und geloggte Challenge-Einträge (Aktivität, Menge, Punkte, Datum, optionale Notiz) für die anderen Teilnehmer der jeweiligen Challenge
Applaus (Kudos) zwischen den Teilnehmern derselben Challenge
Aufbewahrungsdauer:: Bis zum Verlassen der Challenge bzw. Kontolöschung — Einträge bleiben für die verbleibenden Teilnehmer auf dem Board, wie beim Beitritt angezeigt. Widerruf: Einstellungen → Team-Challenges → alle verlassen.
Weitergabe an:: Andere Teilnehmer derselben Challenge, Supabase (Datenspeicherung), Resend (E-Mails)

Art. 9 DSGVO — Gesundheitsbezogene Daten

Inhalte aus den Lebensbereichen Gesundheit & Fitness und Geist & Wohlbefinden, deine Gewohnheiten, Ziele und Abendreflexionen gelten als gesundheitsbezogene Daten im Sinne von Art. 9 DSGVO. Ihre Verarbeitung erfordert deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Du kannst deine Einwilligung jederzeit unter Einstellungen › Datenschutz-Einstellungen widerrufen. Ohne diese Einwilligung bleibt der KI-Coach gesperrt und die beiden Lebensbereiche werden ausgeblendet.

Auftragsverarbeiter

Supabase

Zweck:: Authentifizierung, Datenbank, Speicher
Ort:: Frankfurt, Deutschland
Unterauftragsverarbeiter:: AWS Frankfurt (eu-central-1)
Aufbewahrungsdauer:: Session-Cookies 7 Tage, Nutzerdaten bis zur Kontolöschung

Vercel

Zweck:: Hosting, Edge-Rendering, Preview-Deployments
Ort:: EU-Edge (Frankfurt + Dublin)
Aufbewahrungsdauer:: Access-Logs 7 Tage

Anthropic

Zweck:: KI-Coach, Onboarding-Prompt, Auto-Klassifikation (Claude API)
Ort:: USA
Aufbewahrungsdauer:: Anthropic-Standard: 30 Tage (Zero-Retention-DPA geplant)
Rechtsgrundlage Drittlandstransfer:: Standardvertragsklauseln (SCC) EU-Kommissionsbeschluss 2021/914

Google

Zweck:: Sign-in with Google (OAuth). Google-Kalender-Integration: Lesen deiner Kalenderliste und der Termine der von dir in Google ausgewählten Kalender (Titel, Beschreibung, Zeit, Ort) sowie Erstellen, Aktualisieren und Löschen der Termine, die DYME Life OS für deine Aufgaben und Zeitblöcke selbst anlegt.
Ort:: USA
Aufbewahrungsdauer:: Kein separater Inhaltspeicher über die in der App gespeicherten Aufgaben-/Termin-Verknüpfungen hinaus; OAuth-Zugriffs- und Refresh-Token verschlüsselt in Supabase (google_calendar_connections)
Rechtsgrundlage Drittlandstransfer:: Standardvertragsklauseln (SCC) EU-Kommissionsbeschluss 2021/914

Groq

Zweck:: Speech-to-Text für den Diktierknopf: die aufgenommene Sprachaufnahme wird zur Umwandlung an Whisper-large-v3-turbo übermittelt, das Transkript kehrt in den Coach-Editor zurück.
Ort:: USA
Aufbewahrungsdauer:: Laut Groqs veröffentlichter Datenrichtlinie (Stand September 2026): keine Nutzung für Training, keine Speicherung über die Bereitstellung des Dienstes hinaus. Für unsere Organisation ist Groqs Zero-Data-Retention-Einstellung seit dem 9. September 2026 aktiviert: Ein- und Ausgaben werden bei Groq nicht protokolliert, auch nicht zur Fehlersuche. Die App selbst speichert nie die Aufnahme — nur das Transkript, und nur wenn du es abschickst.
Rechtsgrundlage Drittlandstransfer:: Standardvertragsklauseln (SCC) EU-Kommissionsbeschluss 2021/914

Resend

Zweck:: Transaktions-E-Mails der Team-Challenges: Einladungen und Willkommensmails.
Ort:: USA (Resend, Inc.)
Aufbewahrungsdauer:: Einladungs-E-Mail: Empfängeradresse, Anzeigename des Gastgebers, Challenge-Name, Einladungslink/-code und optional das Alpha-Zugangspasswort. Willkommens-E-Mail (nach Beitritt): Empfängeradresse, Challenge-Name, Start-/Enddatum, Namen der beteiligten Lebensbereiche und ein Link zur Challenge. Betreff und Zustellstatus verbleiben zusätzlich in Resends Versandprotokoll gemäß deren Aufbewahrungsrichtlinie. Versand über die EU-Region, sofern konfiguriert.
Rechtsgrundlage Drittlandstransfer:: Standardvertragsklauseln (SCC) EU-Kommissionsbeschluss 2021/914

Google-Nutzerdaten (Google API Services User Data Policy)

Wir lesen deine Google-Kalenderliste und die Termine der von dir ausgewählten Kalender, und wir schreiben die Termine, die DYME Life OS für deine eigenen Aufgaben und Zeitblöcke selbst anlegt.

Was wir abrufen:

Deine Google-Kalenderliste
Die Termine der Kalender, die du in Google für die Synchronisation ausgewählt hast (Titel, Beschreibung, Zeit, Ort)
Erstellen, Aktualisieren und Löschen der Termine, die DYME Life OS für deine eigenen Aufgaben und Zeitblöcke anlegt
Einladungen, die du abgelehnt hast, werden herausgefiltert und nie angezeigt

Wofür wir es nutzen:

Deinen Kalender neben deinen Aufgaben anzeigen
Freie Zeitfenster finden
Deine eigenen Aufgaben als Termine in deinen Kalender spiegeln

Keine Weitergabe an Dritte über das hinaus, was für diese Funktionen notwendig ist (Hosting bei Supabase in der EU).

Keine Nutzung für Werbung und kein Training von KI-/ML-Modellen mit deinen Google-Daten.

Kein menschliches Lesen deiner Daten, außer zur Sicherheits- und Missbrauchsuntersuchung, mit deiner Einwilligung oder auf deine Support-Anfrage hin.

Wenn du die KI-Coaching-Einwilligung erteilt hast und den Coach bittest zu planen, werden Terminbezeichnungen und -zeiten an Anthropic übergeben.

Wenn du Gäste zu einer terminierten Aufgabe einlädst oder einer deiner Agenten Gäste für eine Aufgabe vorschlägt, speichern wir ihre E-Mail-Adressen bei dieser Aufgabe, vorgeschlagene Adressen zusätzlich im Protokoll des Agenten-Aufrufs; sobald die Aufgabe mit ihnen terminiert ist, geben wir die Adressen an Google-Kalender weiter, und Google versendet die Einladung.

Du kannst den Zugriff jederzeit auf der Google-Berechtigungsseite widerrufen. Beim Löschen deines Kontos werden die gespeicherten Token mitgelöscht (google_calendar_connections verweist per ON DELETE CASCADE auf dein Konto). Widerrufen kannst du unter https://myaccount.google.com/permissions.

Die Nutzung und Weitergabe von Informationen, die DYME Life OS über Google-APIs erhält, an andere Anwendungen erfolgt in Übereinstimmung mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. https://developers.google.com/terms/api-services-user-data-policy

DYME Life OS's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

If you invite guests to a scheduled task, or one of your agents suggests guests for a task, we store their e-mail addresses with that task, and suggested addresses also in the record of the agent's call; once the task is scheduled with them, we pass the addresses to Google Calendar, which sends the invitation.

Deine Rechte

Art. 15 DSGVO — Auskunft über deine gespeicherten Daten: Settings > Daten exportieren
Art. 16 DSGVO — Berichtigung unrichtiger Daten: E-Mail an christian@dynamic-frameworks.com
Art. 17 DSGVO — Löschung deiner Daten ("Recht auf Vergessenwerden"): Settings > Konto löschen
Art. 18 DSGVO — Einschränkung der Verarbeitung: E-Mail an christian@dynamic-frameworks.com
Art. 20 DSGVO — Datenübertragbarkeit in maschinenlesbarem Format (JSON): Settings > Daten exportieren
Art. 21 DSGVO — Widerspruch gegen Verarbeitung: Settings > Datenschutz-Einstellungen (Einwilligung widerrufen)

Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist der Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI), Graurheindorfer Str. 153, 53117 Bonn. Kontakt: poststelle@bfdi.bund.de · https://www.bfdi.bund.de.

Wellness-Hinweis

DYME Life OS ist ein allgemeines Wellness-Produkt im Sinne der EU-Verordnung 2017/745 (MDR) und KEIN Medizinprodukt. Wir treffen keine medizinischen, therapeutischen oder diagnostischen Aussagen.

Änderungsverlauf

2026-04-20: Erstveröffentlichung mit dreistufiger Einwilligung und Art. 9-Gate.
2026-09-07: Neuer Verantwortlicher mit neuer Kontaktadresse. Google-Kalender-Integration als live dokumentiert (Lesen und Schreiben) inkl. Limited-Use-Abschnitt. Groq als Auftragsverarbeiter für Sprach-zu-Text ergänzt.