Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten ist die Ingrid Health UG (haftungsbeschränkt), Fidicinstraße 36, 10965 Berlin, Deutschland. Du erreichst uns unter privacy@ingrid.health.

Diese Datenschutzerklärung gilt für die Ingrid-App für iOS und die mit der App verbundenen Support- und Expertenfunktionen. Für die Website gilt eine gesonderte Datenschutzerklärung.

2. Das Wichtigste in Kürze

• Für die Gesundheitsfunktionen verarbeiten wir deine Gesundheitsdaten auf Grundlage deiner ausdrücklichen Einwilligung. Du kannst sie jederzeit widerrufen.
• Wir verkaufen deine personenbezogenen Daten nicht und verwenden deine Gesundheitsdaten nicht für Werbung.
• Wir verwenden deine personenbezogenen Daten nicht zum Training von KI-Modellen.
• Produktanalyse und die Speicherung von Auszügen aus KI-Gesprächen zur Fehleranalyse finden nur statt, wenn du gesondert in „Analyse und KI-Qualität“ einwilligst.
• Du entscheidest, ob du Apple Health verbindest, ob du eine Fachperson einlädst und welche Daten sie sehen darf.
• Du kannst per E-Mail eine Kopie deiner Daten anfordern, deine Gesundheitsdaten durch Widerruf deiner Einwilligung löschen lassen und dein Konto in der App löschen.

3. Welche Daten wir verarbeiten

Gesundheits- und Lebensstildaten, Apple-Health-Daten, medizinische Dokumente, Mahlzeitenfotos, Teile von KI-Chats und gegebenenfalls Expertendaten können Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten.

4. Zwecke und Rechtsgrundlagen

5. Gesundheitsdaten und Einwilligung

5.1 Bevor Ingrid Gesundheitsdaten für personalisierte Gesundheits- oder KI-Funktionen verarbeitet, holen wir beim Einstieg in die App deine ausdrückliche Einwilligung ein. Ohne diese Einwilligung kannst du die App nicht nutzen, weil ihre Funktionen auf Gesundheitsdaten beruhen; einen eingeschränkten Modus gibt es nicht.

5.2 Die Einwilligung umfasst nur die in der App beschriebenen Zwecke. Für Apple Health entscheidest du zusätzlich in den Einstellungen deines Geräts granular, auf welche Datentypen Ingrid zugreifen darf.

5.3 Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft in der App unter Profil → Einwilligungen (Schalter „Gesundheitsdaten und KI“ ausschalten) oder per E-Mail an privacy@ingrid.health widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

5.4 Nach dem Widerruf sperren wir sofort den Zugang zu den Gesundheitsfunktionen und löschen anschließend alle Gesundheitsdaten in deinem Konto: deine Antworten, die Gesundheitsangaben im Profil, deinen Plan mit Aufgaben, Fortschritt, XP und Serien, deine Chats einschließlich Zusammenfassungen und KI-Gedächtnis, Mess- und Laborwerte, Dokumente und hochgeladene Dateien, Beschwerden, Familiengeschichte, Fragen an deine Ärztin oder deinen Arzt, Verbindungen zu Fachpersonen samt deren Notizen und Empfehlungen sowie KI-Protokolle bei Langfuse. Bestehen bleiben dein Konto (E-Mail-Adresse, Name, Sprache, Push-Kennung) und das Einwilligungsprotokoll (Ziffer 5.8). Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen, löschen wir nach Ablauf der Fristen in Ziffer 12. Du kannst später erneut einwilligen und beginnst dann von vorn.

5.5 Anmeldedaten brauchen wir für dein Konto, Kauf- und Abonnementdaten für deinen kostenpflichtigen Zugang. Gesundheitsangaben, Dokumente, verbundene Datenquellen, Mitteilungen, die Einwilligung „Analyse und KI-Qualität“ und Freigaben an Fachpersonen sind freiwillig. Ohne die Einwilligung in die Verarbeitung von Gesundheitsdaten steht die App nicht zur Verfügung (Ziffer 5.1). Die Einwilligung „Analyse und KI-Qualität“ ist keine Voraussetzung für die Nutzung oder dein Abonnement.

5.6 Der Widerruf einer Einwilligung beendet weder den Vertrag noch die Abrechnung durch Apple. Dein Abonnement kündigst du gesondert nach Ziffer 6.4 der Nutzungsbedingungen.

5.7 Beim Einstieg bestätigst du außerdem, dass du die Zweckbestimmung von Ingrid zur Kenntnis genommen hast: Ingrid ist kein Medizinprodukt, stellt keine Diagnosen und behandelt nicht, KI kann Fehler machen, und im Notfall wählst du 112. Diese Bestätigung ist keine datenschutzrechtliche Einwilligung; wir speichern sie als Nachweis im Einwilligungsprotokoll (Ziffer 5.8).

5.8 Jede Einwilligung und Bestätigung (Gesundheitsdaten und KI, Zweckbestimmung, Nutzungsbedingungen, Altersbestätigung, Analyse und KI-Qualität) halten wir in einem Einwilligungsprotokoll fest, in dem Einträge nur ergänzt und nicht geändert werden: Art, erteilt oder widerrufen, Textversion, Sprache, Zeitpunkt, Ort in der App und App-Version. Das Protokoll bleibt beim Widerruf und bei der Löschung deines Kontos erhalten und wird 3 Jahre nach der Kontolöschung gelöscht (Ziffer 12).

6. KI-Funktionen, Google Vertex AI und Mistral AI

6.1 Chat-Antworten, Pläne, Hinweise auf dem Startbildschirm, Aufgabenanleitungen, das Einstiegsgespräch, das Auslesen von Dokumenten und Laborbefunden, Kalorienschätzungen aus Mahlzeitenfotos und Prüfungen von KI-Antworten erzeugt Ingrid mit Gemini-Modellen, die Ingrid über Google Vertex AI verwendet. Weitere Funktionen übernimmt Mistral AI (Ziffer 6.7).

6.2 Für eine Antwort erhält Gemini deine Nachricht und die für die Funktion benötigten Kontextdaten. Die Verarbeitung findet in der EU statt: Ingrid nutzt den Vertex-AI-Endpunkt in der EU-Multiregion, für Text-Embeddings (gemini-embedding-001) die Region europe-west1 (Belgien). Googles Zwischenspeicherung von Eingaben im Arbeitsspeicher ist für Ingrid deaktiviert. Zur Missbrauchserkennung kann Google Eingaben bis zu 90 Tage speichern.

6.3 Google verarbeitet diese Daten für Ingrid als Auftragsverarbeiter. Nach den für den eingesetzten Google-Cloud-Dienst geltenden Bedingungen darf Google die von Ingrid übermittelten Kundendaten nicht ohne unsere Weisung bzw. Erlaubnis zum Training oder Fine-Tuning allgemeiner Google-KI-Modelle verwenden. Ingrid erteilt eine solche Weisung für personenbezogene Nutzerdaten nicht.

6.4 Wir verwenden deine personenbezogenen Daten nicht, um eigene oder fremde KI-Modelle zu trainieren oder anzupassen.

6.5 Für den technischen Betrieb der KI-Funktionen protokollieren wir bei Langfuse technische Metadaten wie Laufzeit, Modellkennung, Tokenanzahl und Fehlercode unter einer pseudonymisierten Nutzerkennung, ohne Eingaben, Antworten, Werkzeugparameter, Fehlertexte oder Gesundheitsdaten. Nur wenn du in „Analyse und KI-Qualität“ einwilligst, speichern wir bei Langfuse auch Auszüge aus Eingaben, Antworten und dem dafür verwendeten Kontext, damit befugte Mitarbeitende Fehler und Sicherheitsprobleme erkennen und beheben können. Diese Daten können Gesundheitsdaten enthalten. Rechtsgrundlage sind Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO. Du kannst die Einwilligung jederzeit unter Profil → Einwilligungen → „Analyse und KI-Qualität“ widerrufen; die KI-Funktionen bleiben nutzbar.

6.6 Ingrid passt Inhalte an deine Angaben an. Dies kann Profiling im Sinne von Art. 4 Nr. 4 DSGVO darstellen. Ingrid trifft jedoch keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die rechtliche Wirkung entfalten oder dich ähnlich erheblich beeinträchtigen.

6.7 Als zweiten KI-Anbieter setzt Ingrid Mistral AI SAS, Paris, Frankreich, ein. Mistral erzeugt die Texte von Push-Mitteilungen, Beispielfragen für den Chat, Gesprächszusammenfassungen und Gesprächstitel und erhält dafür auch Chatverläufe. Ist Gemini nicht erreichbar, übernimmt Mistral ersatzweise Chat-Antworten, Pläne, Hinweise auf dem Startbildschirm, Aufgabenanleitungen und die Vorbereitung auf einen Arzttermin. Mistral verarbeitet diese Daten für Ingrid als Auftragsverarbeiter in der EU nutzt sie nicht zum Training und löscht sie nach einem Tag.

7. Apple Health

7.1 Ingrid liest Apple-Health-Daten (iOS) nur, nachdem du dies auf deinem Gerät für die jeweiligen Datentypen erlaubt hast. Du kannst die Freigaben jederzeit in den Einstellungen deines Geräts ändern.

7.2 Diese Daten werden ausschließlich für die von dir genutzten Gesundheits- und Wohlfühlfunktionen verarbeitet. Sie werden nicht für Werbung verwendet oder verkauft.

7.3 Weitere Wearables oder Apps von Drittanbietern kannst du zum Start nicht direkt verbinden.

7.4 Nimmst du die Freigabe zurück, werden keine neuen Daten mehr abgerufen. Bereits importierte Daten bleiben gespeichert, bis du sie löschst oder dein Konto gelöscht wird, soweit keine andere Aufbewahrungspflicht besteht.

8. Hochgeladene Dokumente

8.1 Hochgeladene Dokumente können automatisiert mit Texterkennung und KI (Gemini, Ziffer 6) ausgewertet werden, um Informationen wie Laborwerte auszulesen.

8.2 Lade keine Gesundheitsdaten anderer Personen hoch. Namen oder berufliche Kontaktdaten deiner behandelnden Fachpersonen können Bestandteil deines Befunds sein; wir verarbeiten sie nur als Teil deines Dokuments. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an der Bereitstellung der von dir gewünschten Dokumentfunktion.

8.3 Du kannst hochgeladene Dokumente und extrahierte Werte in der App löschen, soweit keine zwingende Aufbewahrung erforderlich ist.

8.4 Fotos von Mahlzeiten, die du für eine Kalorienschätzung aufnimmst oder auswählst, senden wir zur Auswertung an Gemini (Ziffer 6). Wir speichern diese Fotos nicht.

9. Menschliche Fachpersonen

9.1 Du kannst eine Fachperson deiner Wahl, etwa einen Coach oder eine Ernährungsfachkraft, per E-Mail einladen. Eine Buchung, Bezahlung oder Vermittlung über Ingrid gibt es nicht. In der Einladung wählst du, welche Datenkategorien die Fachperson sehen darf: Plan, Messwerte, Laborwerte, Dokumente, Familiengeschichte, Beschwerden und Fragen an deine Ärztin oder deinen Arzt. Für die Einladung und die technische Bereitstellung gilt Art. 6 Abs. 1 lit. b DSGVO; Gesundheitsdaten geben wir nur mit deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO frei.

9.2 Fachpersonen erhalten keinen allgemeinen Zugriff auf dein Ingrid-Konto. Sie sehen in einem gesonderten Expertenbereich nur die von dir freigegebenen Kategorien. Du kannst die Kategorien jederzeit ändern oder die Verbindung beenden. Widerrufst du deine Einwilligung in die Verarbeitung von Gesundheitsdaten, verliert die Fachperson sofort den Zugriff. Ruft die Fachperson ein Dokument auf, protokollieren wir das.

9.3 Die Fachperson kann dir über Ingrid Empfehlungen und Planvorschläge senden, die du annimmst oder ablehnst. Außerdem kann sie in Ingrid private Arbeitsnotizen anlegen, die dir nicht angezeigt werden. Diese Notizen löschen wir, wenn die Verbindung endet oder du deine Einwilligung widerrufst.

9.4 Für die Einladung, den Expertenbereich, Empfehlungen und Notizen verarbeitet Ingrid die erforderlichen Daten in seiner Rolle als Plattformanbieter.

9.5 Hält die Fachperson Angaben außerhalb von Ingrid in eigenen Beratungs- oder Behandlungsunterlagen fest, ist sie dafür selbst verantwortlich; es gilt ihre eigene Datenschutzerklärung. Ein Widerruf bei Ingrid beendet ihren Zugriff, löscht aber keine Unterlagen, die sie außerhalb von Ingrid bereits rechtmäßig angelegt hat. Deine Rechte an diesen Unterlagen übst du bei der Fachperson aus.

10. Empfänger und Dienstleister

Mit unseren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

11. Übermittlungen außerhalb der EU und des EWR

11.1 Anwendungs- und Gesundheitsdaten speichern wir in der EU (derzeit in Deutschland). Firebase Authentication, Resend und RevenueCat verarbeiten Daten in den USA, Firebase Cloud Messaging weltweit. Vertex AI verarbeitet Daten in der EU (EU-Multiregion, Embeddings in Belgien), Mistral AI in der EU. Bei PostHog, Sentry und Langfuse werden die Daten in der EU gespeichert; ein Zugriff aus den USA ist möglich.

11.2 Übermittlungen in die USA und andere Drittländer stützen wir auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, wenn der Empfänger dafür zertifiziert ist, auf das EU-US Data Privacy Framework. Nach dem EU-US Data Privacy Framework zertifiziert sind Google LLC (Firebase, Google Workspace), PostHog, Inc., Functional Software, Inc. (Sentry), Plus Five Five, Inc. (Resend) und ClickHouse, Inc. (Muttergesellschaft von Langfuse); für RevenueCat, Inc. nutzen wir die Standardvertragsklauseln.

11.3 Eine Kopie der maßgeblichen Garantien kannst du unter privacy@ingrid.health anfordern.

12. Speicherdauer

Die folgenden Fristen gelten je Datenkategorie.

13. Sicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

14. Gerätezugriffe, Push und Analyse

14.1 Ingrid speichert technisch notwendige Informationen auf deinem Gerät, etwa Anmeldestatus und Einstellungen. Soweit deutsches Recht anwendbar ist, erfolgt dies auf Grundlage von § 25 Abs. 2 TDDDG; in Österreich gelten die entsprechenden nationalen Regeln.

14.2 Geräteberechtigungen für Mitteilungen, Apple Health, Kamera, Fotos oder Dateien fragt Ingrid nur ab, wenn eine Funktion sie benötigt. Du kannst sie jederzeit in den Einstellungen deines Geräts zurücknehmen. Die Erlaubnis für Push-Mitteilungen fragen wir erst ab, nachdem du in der App zugestimmt hast, erinnert zu werden. Push-Mitteilungen erhältst du nur, wenn du sie erlaubst; sie können Aufgabenerinnerungen und Hinweise deines Coaches enthalten, aber keine Mess- oder Laborwerte.

14.3 Nur mit deiner Einwilligung „Analyse und KI-Qualität“, um die wir dich einmalig am dritten Tag der Nutzung bitten, verwenden wir PostHog für Produktanalyse, etwa zu App-Öffnungen und Funktionsaufrufen unter einer pseudonymen Nutzerkennung. Ohne Einwilligung wird PostHog nicht gestartet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und in Deutschland § 25 Abs. 1 TDDDG. Wir übermitteln dabei keine Gesundheitsangaben, Chattexte oder Dokumente. Dieselbe Einwilligung umfasst die Speicherung von Gesprächsauszügen bei Langfuse (Ziffer 6.5). Du kannst die Einwilligung jederzeit unter Profil → Einwilligungen → „Analyse und KI-Qualität“ widerrufen; deine bezahlten Funktionen bleiben davon unberührt.

14.4 Sentry erhält für die Fehleranalyse unter einer pseudonymisierten Nutzerkennung technische Angaben wie App-Version, Betriebssystem und Fehlercode, aber keine Gesundheitsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an einem sicheren und stabilen Dienst.

14.5 Um zu verstehen, an welcher Stelle Menschen den Einstieg in die App abbrechen, zählen wir anonym, wie viele Personen jeden Einstiegsschritt erreichen. Dabei speichern wir weder eine Nutzer- oder Gerätekennung noch die IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an einem verständlichen Einstieg in die App.

15. Deine Rechte

• Auskunft über deine personenbezogenen Daten und eine Kopie davon (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit die Voraussetzungen vorliegen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen aus Gründen deiner besonderen Situation (Art. 21 DSGVO)
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Deine Einwilligungen verwaltest du in der App unter Profil → Einwilligungen. Eine Kopie deiner Daten forderst du per E-Mail an privacy@ingrid.health an. Dein Konto löschst du unter Profil → „Konto löschen“. Für weitere Anliegen schreibe an privacy@ingrid.health.

Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für Ingrid ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59–61, 10555 Berlin. In Österreich kannst du dich an die Datenschutzbehörde wenden.

16. Minderjährige

Ingrid richtet sich ausschließlich an Erwachsene ab 18 Jahren. Bei der Registrierung bestätigst du, dass du mindestens 18 Jahre alt bist; ein Geburtsdatum unter 18 Jahren wird nicht angenommen. Wir verarbeiten wissentlich keine Daten von Minderjährigen. Erfahren wir, dass sich eine minderjährige Person registriert hat, löschen wir das Konto.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst, unsere Dienstleister oder die Rechtslage ändern. Über wesentliche Änderungen informieren wir dich in der App oder per E-Mail.