Datenschutzerklärung

1. Verantwortliche Stelle

Céline Schüller / Cycle by Céline
Lützenkirchener Str. 2
51379 Leverkusen
E-Mail: contact@cyclebyceline.com

2. Allgemeine Hinweise zur Datenverarbeitung

Der Schutz deiner personenbezogenen Daten ist uns sehr wichtig. Wir verarbeiten deine Daten ausschließlich auf Grundlage der geltenden Datenschutzgesetze, insbesondere der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).

Diese Datenschutzerklärung informiert dich darüber, welche Daten wir erheben, wie wir sie verwenden und welche Rechte du hast.

3. Hosting / Vercel

Diese Website wird bei Vercel Inc. (USA) gehostet. Beim Aufruf unserer Seiten werden automatisch Informationen an den Server übertragen. Dazu können IP-Adresse, Browsertyp, Betriebssystem, Referrer-URL, Zeitpunkt des Zugriffs und weitere technische Daten gehören.

Die Server-Funktionen unseres Angebots werden in der Region Frankfurt am Main (Deutschland) ausgeführt. Mit Vercel besteht ein Auftragsverarbeitungsvertrag; soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln.

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einer sicheren und effizienten Bereitstellung unseres Onlineangebots (Art. 6 Abs. 1 lit. f DSGVO).

4. Registrierung und Kontodaten

Bei der Registrierung erheben wir deine E-Mail-Adresse und ein Passwort. Diese Kontodaten, dein Basis-Profil sowie der Nachweis deiner Einwilligungen werden serverseitig über Supabase (Supabase Inc.) gespeichert; die Datenverarbeitung erfolgt dabei auf Servern in der Region Frankfurt am Main (Deutschland, EU). Dein Passwort wird ausschließlich verschlüsselt (als Hash) gespeichert. Zur Anmeldung werden technisch notwendige Session-Cookies gesetzt.

Mit Supabase besteht ein Auftragsverarbeitungsvertrag; soweit im Ausnahmefall Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln.

Die Verarbeitung erfolgt auf Grundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

5. Kontakt- und Coachinganfragen

Wenn du uns über das Kontakt- oder Coaching-Anfrageformular kontaktierst oder dich für den Early Access anmeldest, werden die von dir mitgeteilten Daten (z. B. Name, E-Mail-Adresse, Nachricht, Coaching-bezogene Angaben) zum Zwecke der Bearbeitung deiner Anfrage verarbeitet und uns per E-Mail zugestellt (siehe Abschnitt 10).

Die Verarbeitung erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

6. Early Access / Anamnese / Gesundheits- und Zyklusdaten

Im Rahmen des Onboardings (Anamnese) erheben wir gesundheitsbezogene Daten wie Zyklusstatus, Ziele, Beschwerden, Ernährungspräferenzen und körperliche Angaben. Im laufenden Gebrauch können zusätzlich Journaldaten (Schlaf, Energie, Stimmung, Bewegung, Ernährung, optionale Symptome und Freitexte) erfasst werden.

Deine Zyklus- und Journaldaten werden lokal in deinem Browser (localStorage) gespeichert. Sie verlassen dein Gerät nur in drei Fällen, und alle drei entscheidest du selbst:

Erstens, wenn du Lumi mit KI nutzt. Dann werden deine Chat-Nachricht und ausgewählte, strukturierte Tagesdaten an unseren KI-Dienstleister übertragen, zum Beispiel Zyklusphase und Zyklustag, Schlaf, Stress, Stimmung, Symptome, Heißhunger, Mahlzeiten, Bewegung sowie ausgewählte Angaben aus deinem Profil wie Ziele und Ernährungsausschlüsse. Näheres steht in Abschnitt 8. Freitext-Notizen sind davon ausdrücklich ausgenommen und werden nicht übertragen.

Zweitens, wenn du im Ernährungstagebuch ein Foto deiner Mahlzeit aufnimmst. Dafür brauchst du eine eigene, zusätzliche Einwilligung. Übertragen wird dann ausschließlich das Foto, keine Zyklus- oder Profildaten. Näheres steht in Abschnitt 8.

Drittens, wenn du uns über eines unserer Formulare schreibst, insbesondere über die Anfrage zum 1:1 Coaching oder zu den Präventionskursen. Die dort von dir gemachten Angaben, die auch gesundheitsbezogene Angaben enthalten können, werden auf unserem Server gespeichert und per E-Mail an uns übermittelt. Näheres steht in Abschnitt 5 und 10.

Eine darüber hinausgehende serverseitige Speicherung deiner Zyklus- und Journaldaten ist für eine spätere Version vorgesehen. Wir informieren dich rechtzeitig, bevor sich daran etwas ändert.

7. Verarbeitung besonderer Kategorien personenbezogener Daten

Gesundheits- und Zyklusdaten gelten als besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO. Die Verarbeitung dieser Daten erfolgt ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du bei der Registrierung ausdrücklich erteilst. Der Nachweis deiner Einwilligung wird mit Version und Zeitpunkt gespeichert.

Wenn du in deinem Profil eine gesundheitliche Angabe machst (zum Beispiel eine Diagnose wie PMOS), nutzen wir diese Angabe, um dir dazu passende, allgemeine Ernährungs- und Wissenshinweise anzuzeigen. Diese Personalisierung erfolgt auf deinem Gerät (localStorage); deine Diagnose-Angabe wird zu diesem Zweck nicht an einen Server übertragen. Unabhängig davon gilt: Wenn du Lumi mit KI nutzt, können strukturierte Angaben aus deinem Profil und deinem Tagesverlauf an unseren KI-Dienstleister übertragen werden, siehe Abschnitt 8. Freitext-Felder aus deinem Profil und deiner Abendnotiz sind davon ausgenommen und werden nicht übertragen. Die Hinweise sind allgemeiner, unterstützender Natur und ersetzen keine ärztliche Beratung oder Behandlung.

Du kannst diese Einwilligung jederzeit widerrufen (siehe Abschnitt 14).

8. KI-gestützte Verarbeitung / Anthropic

Cycle Compass kann KI-gestützte Funktionen anbieten, darunter den Chat-Begleiter Lumi. Für diese Funktionen werden ausgewählte Nutzerdaten an die Anthropic API (Anthropic PBC, USA) übermittelt.

Die Übermittlung erfolgt nur mit deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO). Die Einwilligung holen wir dort ein, wo die Funktion beginnt: für Lumi mit KI über eine Einwilligungskarte direkt im Chat, für die Foto-Erkennung gesondert im Ernährungstagebuch. Beides sind getrennte Einwilligungen, du kannst also der einen zustimmen und der anderen nicht. Widerrufen kannst du jederzeit in den Lumi-Einstellungen. Ohne Einwilligung werden keine Daten an Anthropic übermittelt.

Übertragen werden nur deine Chat-Nachricht und ausgewählte strukturierte Tagesdaten. Freitext-Felder werden ausdrücklich nicht an den KI-Dienstleister übertragen. Das gilt für die freien Notizen in deiner Morgen- und Abendnotiz, also auch für "Was war heute schwer?" und "Was hat heute gutgetan?", und ebenso für die Freitextfelder in deinem Profil, etwa beobachtete Veränderungen in deinen Zyklusphasen, bisherige Ansätze, weitere Unverträglichkeiten und zusätzliche Anmerkungen. Diese Angaben bleiben auf deinem Gerät.

Zu den strukturierten Tagesdaten gehört auch eine NFP-Auswertung, wenn du deinen Zyklus natürlich beobachtest: deine zuletzt gemessenen Basaltemperatur-Werte, die daraus berechnete Basislinie, ein erkannter Temperaturanstieg, ein daraus vermuteter Eisprung und die geschätzte Länge deiner zweiten Zyklushälfte. Damit kann Lumi dir deine eigenen Beobachtungen erklären. Nutzt du hormonelle Verhütung oder bist du in den Wechseljahren, wird diese Auswertung nicht erstellt und auch nicht übertragen. Alle Angaben sind Einschätzungen aus deinen Einträgen, keine medizinische Aussage und ausdrücklich keine Grundlage zur Verhütung.

Fotos von Mahlzeiten (Foto-Essenserkennung im Ernährungstagebuch): Wenn du diese Funktion nutzt und ihr gesondert zugestimmt hast, wird dein Mahlzeiten-Foto einmalig zur Erkennung der abgebildeten Lebensmittel an die Anthropic API übermittelt und unmittelbar danach verworfen. Das Foto wird zu keinem Zeitpunkt gespeichert, weder auf unseren Servern noch dauerhaft auf deinem Gerät durch die App. Gespeichert werden ausschließlich die erkannten Lebensmittel, die du anschließend selbst bestätigst. Bitte fotografiere nur deine Mahlzeit und keine Personen.

Die KI-Ausgabe dient ausschließlich der allgemeinen Orientierung und ersetzt keine medizinische Beratung.

9. Zahlungsabwicklung / Stripe

Für kostenpflichtige Funktionen nutzen wir Stripe (Stripe Payments Europe, Ltd., Irland, sowie Stripe, Inc., USA) als Zahlungsdienstleister. Bei Abschluss eines Abonnements werden Zahlungsdaten direkt von Stripe verarbeitet. Wir erhalten keine vollständigen Kreditkarten- oder Kontodaten.

Von Stripe erhalten wir lediglich die für die Vertragsverwaltung erforderlichen Informationen, zum Beispiel den Status deines Abonnements und die zugehörige E-Mail-Adresse. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Mit Stripe besteht ein Auftragsverarbeitungsvertrag; soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln.

10. E-Mail-Versand / Resend

Für den Versand von Konto-E-Mails an dich (z. B. Registrierungs-Bestätigung, Passwort zurücksetzen) sowie für die Zustellung von Formulareingaben (z. B. Coaching-Anfragen, Early-Access-Anmeldungen) an uns nutzen wir den Dienst Resend (Resend, Inc., USA); der Versand erfolgt über EU-Infrastruktur (Region Irland). Dabei werden die jeweils erforderlichen Daten (E-Mail-Adresse, Inhalt der jeweiligen Nachricht) zum Zweck der Zustellung verarbeitet.

Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und auf Grundlage unseres berechtigten Interesses an einer zuverlässigen Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Mit Resend besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln.

11. Cookies und lokale Speicherung

Für die Funktionalität der Website und App verwenden wir technisch notwendige Cookies und lokale Speichermechanismen (localStorage, Session-Cookies), z. B. für die Authentifizierung, deine Spracheinstellung und die Speicherung deiner Eingaben.

Zusätzlich setzen wir den Analysedienst PostHog ein, jedoch ausschließlich nach deiner aktiven Zustimmung über unseren Cookie-Hinweis (siehe Abschnitt 18). Marketing- oder Werbe-Cookies setzen wir nicht ein.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Lokal gespeicherte Daten (localStorage) können jederzeit durch dich gelöscht werden. Bei einer serverseitigen Speicherung werden Daten nach Löschung deines Kontos entfernt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Anfragen über unsere Formulare zum 1:1 Coaching und zu den Präventionskursen bewahren wir bis zu zwölf Monate nach Erledigung der Anfrage auf und löschen sie danach. Kommt es zu einem Vertrag, gelten stattdessen die gesetzlichen Aufbewahrungsfristen. Löschst du dein Konto, löschen wir deine Anfragen unabhängig davon sofort mit.

Kündigungs- und Widerrufserklärungen, die du über unsere Formulare abgibst, bewahren wir auch nach einer Kontolöschung auf. Sie sind der Nachweis, dass und wann deine Erklärung bei uns eingegangen ist, und dienen der Geltendmachung und Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. e DSGVO). Für andere Zwecke werden diese Daten nicht verwendet.

Rechnungs- und Zahlungsdaten, die bei unserem Zahlungsdienstleister Stripe entstehen, unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) und bleiben deshalb bis zu zehn Jahre gespeichert. Sie werden in dieser Zeit für andere Zwecke gesperrt. Auch das gilt unabhängig von einer Kontolöschung.

13. Rechtsgrundlagen nach DSGVO

• Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO)
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

14. Betroffenenrechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zur Ausübung deiner Rechte kannst du uns unter contact@cyclebyceline.com kontaktieren.

15. Widerruf von Einwilligungen

Du kannst erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen. Dazu kannst du dein Konto und deine Daten im Account-Bereich löschen oder uns per E-Mail kontaktieren. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beim Löschen deines Kontos werden deine serverseitig gespeicherten Kontodaten und deine Rezept-Bewertungen gelöscht. Von dir eingereichte und freigegebene Community-Rezepte bleiben mit deiner Namensnennung erhalten (siehe Abschnitt 21); du kannst die Entfernung der Namensnennung jederzeit verlangen.

16. Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt.

17. Keine medizinische Diagnostik oder Behandlung

Cycle by Céline und Cycle Compass bieten keine medizinische Diagnostik, Behandlung oder Therapie an. Die bereitgestellten Inhalte, Empfehlungen und KI-Ausgaben dienen ausschließlich der allgemeinen Information und Orientierung. Bei gesundheitlichen Fragen oder Beschwerden sollte immer eine ärztliche Fachperson konsultiert werden.

18. Webanalyse (PostHog) und Cookie-Einstellungen

Zur Verbesserung unseres Angebots nutzen wir den Analysedienst PostHog (PostHog Inc.) mit Datenverarbeitung auf Servern in der Europäischen Union (EU-Cloud). Die Analyse erfolgt ausschließlich, wenn du ihr über unseren Cookie-Hinweis aktiv zugestimmt hast (Art. 6 Abs. 1 lit. a DSGVO). Erfasst werden dabei Seitenaufrufe und allgemeine Nutzungsereignisse ohne Inhalte; Gesundheitsdaten werden zu keinem Zeitpunkt an PostHog übermittelt. Ohne deine Zustimmung findet keine Analyse statt.

19. Warteliste (Coming-Soon-Seite)

Auf unserer Coming-Soon-Seite kannst du dich in eine Warteliste eintragen, um Informationen zum Start von Cycle Compass, zum Coaching und zu Präventionskursen zu erhalten und dich optional als Testerin für Cycle Compass zu melden. Dabei verarbeiten wir deinen Vornamen, deine E-Mail-Adresse, die von dir gewählten Interessen, deine Tester-Auswahl, deine Spracheinstellung sowie die Zeitpunkte von Anmeldung und Bestätigung.

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Du erhältst zunächst eine E-Mail mit einem Bestätigungslink (Versand über Resend, siehe Abschnitt 10). Erst wenn du den Link anklickst, wird deine Anmeldung wirksam. Die Daten werden über Supabase auf Servern in der Region Frankfurt am Main (Deutschland, EU) gespeichert (siehe Abschnitt 4) und ausschließlich dafür genutzt, dich zu den gewählten Themen zu informieren bzw. dich als Testerin zu kontaktieren.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst dich jederzeit wieder austragen, zum Beispiel durch eine formlose E-Mail an contact@cyclebyceline.com; deine Daten werden dann aus der Warteliste gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

20. Kündigungs- und Widerrufsformulare

Über unsere Seiten zur Kündigung und zum Widerruf kannst du entsprechende Erklärungen auch ohne Anmeldung abgeben. Dabei verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, bei Kündigungen Art, gegebenenfalls Grund und Wunschtermin, bei Widerrufen gegebenenfalls das Vertragsdatum), um deine Erklärung zu bearbeiten, dir die gesetzlich vorgesehene Eingangsbestätigung per E-Mail zu senden (Versand über Resend, siehe Abschnitt 10) und die Umsetzung nachweisen zu können. Die Erklärungen werden über Supabase auf Servern in der Region Frankfurt am Main (Deutschland, EU) gespeichert (siehe Abschnitt 4).

Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und die Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO, § 312k BGB). Das Feedback-Feld ist freiwillig, hat keinen Einfluss auf deine Kündigung oder deinen Widerruf und wird auf Grundlage deiner Einwilligung verarbeitet (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern diese Daten so lange, wie es für Nachweiszwecke erforderlich ist, längstens im Rahmen der gesetzlichen Verjährungs- und Aufbewahrungsfristen.

21. Community-Rezepte und Rezept-Feedback

In Cycle Compass kannst du eigene Rezepte einreichen und Rezepte bewerten (Daumen hoch oder Daumen runter).

Rezept-Einreichungen: Wir verarbeiten die Angaben deines Rezepts (zum Beispiel Titel, Zutaten, Zubereitung, optionale Nährwerte und Anmerkungen), die von dir gewählte Namensnennung sowie intern die E-Mail-Adresse deines Kontos für mögliche Rückfragen. Die Daten werden über Supabase gespeichert (siehe Abschnitt 4). Nach redaktioneller Freigabe wird dein Rezept mit deiner Namensnennung in der App angezeigt; deine E-Mail-Adresse wird dabei nie angezeigt. Freigegebene Rezepte bleiben auch nach einer Kontolöschung mit deiner Namensnennung erhalten; darauf weisen wir beim Einreichen und beim Löschen des Kontos hin. Du kannst die Entfernung deiner Namensnennung jederzeit formlos verlangen (contact@cyclebyceline.com); das Rezept bleibt dann ohne Namensnennung erhalten oder wird auf Wunsch ganz entfernt. Rechtsgrundlagen sind deine Einwilligung in die Veröffentlichung mit Namensnennung (Art. 6 Abs. 1 lit. a DSGVO) und unser berechtigtes Interesse an einem Community-Rezeptbereich (Art. 6 Abs. 1 lit. f DSGVO).

Rezept-Bewertungen: Deine Bewertung (Daumen hoch oder runter, bei Daumen runter optional ein Grund) wird deinem Konto zugeordnet über Supabase gespeichert. Bewertungen sind nicht öffentlich und dienen ausschließlich der Qualitätssicherung unserer Rezepte, zum Beispiel dem Ausblenden schlecht bewerteter Rezepte. Bei Löschung deines Kontos werden deine Bewertungen automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der Qualitätssicherung (Art. 6 Abs. 1 lit. f DSGVO).

22. Erinnerungen per Web-Push

Wenn du deine Erinnerungen aktivierst, beispielsweise an deine Morgen- und Abendnotiz, richtet dein Browser dafür ein sogenanntes Push-Abonnement ein. Wir speichern dazu die technische Adresse dieses Abonnements (Push-Endpoint), die beiden zugehörigen Schlüssel, deine Zeitzone, die von dir gewählten Uhrzeiten und deine Spracheinstellung. Rechtsgrundlage ist deine Einwilligung, die du über die Berechtigungsabfrage deines Browsers und den Schalter in der App erteilst (Art. 6 Abs. 1 lit. a DSGVO).

Die Zustellung selbst läuft technisch über den Push-Dienst deines Browsers. Je nach Gerät ist das Google (Firebase Cloud Messaging), Apple (Apple Push Notification Service) oder Mozilla. Diese Anbieter erfahren dadurch, wann eine Nachricht an dein Gerät zugestellt wird. Wir haben darauf keinen Einfluss, weil die Push-Infrastruktur fester Bestandteil des jeweiligen Browsers ist.

Die Nachrichtentexte selbst enthalten bewusst keine Gesundheitsdaten, keinen Namen und nichts Persönliches. Es sind feste, allgemeine Erinnerungssätze wie "Guten Morgen. Zwei ruhige Minuten für dich". Zusätzlich ist der Inhalt Ende-zu-Ende verschlüsselt, der Push-Dienst kann ihn also nicht lesen.

Du kannst die Erinnerungen jederzeit beenden: entweder über den Schalter in der App oder über die Benachrichtigungseinstellungen deines Browsers. Wenn du dein Konto löschst, löschen wir das Abonnement ebenfalls.

23. Schriftarten

Die auf dieser Website verwendeten Schriftarten liegen auf unserem eigenen Server und werden von dort ausgeliefert. Es wird keine Verbindung zu Google Fonts oder anderen externen Schriftdiensten aufgebaut, weder beim ersten Aufruf noch später. An Google werden dabei keine Daten übermittelt, insbesondere nicht deine IP-Adresse.