Datenschutzerklärung für Lumi

Lumi ist ein Tagebuch für Schwangerschaftsdiabetes. Gesundheitsdaten sind besonders schützenswert. Deshalb bleiben deine Einträge auf deinem Gerät. Nur wenn du die KI-Funktionen nutzt, verlässt ein genau beschriebener Ausschnitt das Gerät.

Kurz gesagt

1. Verantwortlicher

Denny Richter
Bruckner Str. 66a
33803 Steinhagen
Deutschland
E-Mail: dr.upro@upro-capital.com

2. Daten auf deinem Gerät

Alles, was du in Lumi einträgst, speichert die App lokal auf deinem Gerät:

Diese Daten werden nicht an den Anbieter übertragen. Sie bleiben gespeichert, bis du sie löschst: einzeln, über „Alle Daten löschen“ in den Einstellungen oder indem du die App entfernst. Ältere Lumi-Gespräche löscht die App nach 7 Tagen von selbst.

2a. iCloud-Sicherung (freiwillig)

Schaltest du in Lumi unter Ich → Einstellungen → iCloud-Backup die Sicherung ein, speichert die App eine Kopie deiner Einträge als Datei in deiner privaten iCloud. Ausgenommen sind Werte aus Apple Health und die Lumi-Gespräche. Die Kopie wird nach Änderungen automatisch aktualisiert. Den Speicher stellt Apple bereit; dafür gelten die iCloud-Bedingungen und die Datenschutzrichtlinie von Apple. Der Anbieter von Lumi betreibt dafür keinen Server und hat keinen Zugriff auf die Kopie.

Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Du widerrufst sie, indem du den Schalter ausschaltest. Danach sichert Lumi nichts mehr. Die vorhandene Kopie bleibt in deiner iCloud, bis du sie löschst: in Lumi über „iCloud-Sicherung löschen“ oder in den iOS-Einstellungen unter iCloud.

3. Apple Health

Wenn du es erlaubst, liest Lumi aus Apple Health: Blutzucker, Blutdruck, Gewicht, Schlaf und Bewegungsminuten. Lumi schreibt nichts in Apple Health. Die gelesenen Werte bleiben auf deinem Gerät und kommen nicht in die iCloud-Sicherung. Nutzt du „Lumi fragen“, gehen heutige Blutzuckerwerte und eine Zusammenfassung deiner Sensorwerte auch dann an die KI, wenn sie aus Apple Health stammen (siehe Abschnitt 6). Die Erlaubnis kannst du jederzeit in iOS unter Einstellungen → Health → Datenzugriff & Geräte → Lumi zurücknehmen.

4. Erinnerungen

Erinnerungen (Messzeiten, Mahlzeiten-Timer, Check-in, Wochenbericht) plant die App auf deinem Gerät. Es gibt keinen Server, der dir Nachrichten schickt.

5. Teilen und Export

Den Arzt-Bericht (PDF), Rezepte (PDF) und den Daten-Export (CSV und JSON) erzeugt die App auf deinem Gerät. Wohin du sie schickst, entscheidest du über den Teilen-Dialog von iOS, zum Beispiel per Mail an deine Praxis. Für die Verarbeitung beim Empfänger und beim gewählten Dienst gelten deren Datenschutzbestimmungen.

6. KI-Funktionen (freiwillig)

Lumi bietet drei KI-Funktionen: „Lumi fragen“ (Chat, Lumi Pro), die Kohlenhydrat-Schätzung aus einem Mahlzeit-Foto und Rezept-Ideen (beide ab Lumi Plus). Vor der ersten Nutzung fragt die App nach deiner Einwilligung: einmal für Chat und Rezept-Ideen, einmal für die Fotos.

Was übertragen wird

Wohin die Daten gehen

Die Anfrage geht verschlüsselt an den Lumi-Server, der bei Cloudflare, Inc. (USA) läuft. Er reicht nur den Inhalt der Anfrage an Anthropic weiter, die die Antwort mit dem KI-Modell Claude erzeugt. Deine IP-Adresse, die Geräte-Kennung und der Kaufbeleg (Abschnitt 9) bleiben beim Lumi-Server. Anthropic speichert die Daten in den USA; die Antwort kann auch in Rechenzentren in anderen Ländern berechnet werden. Der Lumi-Server speichert die Inhalte nicht.

Anthropic bewahrt Ein- und Ausgaben über die Schnittstelle nach eigenen Angaben bis zu 30 Tage auf und löscht sie dann. Erkennen die Sicherheitssysteme von Anthropic einen Verstoß gegen deren Nutzungsrichtlinien, kann Anthropic die Daten bis zu zwei Jahre aufbewahren. Anthropic verwendet diese Daten nicht zum Training seiner Modelle.

Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Für die Übermittlung an Cloudflare gilt damit der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO); zusätzlich enthält der Auftragsverarbeitungsvertrag mit Cloudflare die EU-Standardvertragsklauseln. Anthropic ist nicht nach dem Data Privacy Framework zertifiziert. Die Übermittlung an Anthropic stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Auftragsverarbeitungsvertrags von Anthropic sind. Die Schutzregeln der USA für Zugriffe von Nachrichtendiensten (Executive Order 14086 mit dem Beschwerdeweg zum Data Protection Review Court) gelten auch für diese Übermittlung. Ein Restrisiko, dass US-Behörden auf Daten zugreifen, bleibt. Beide Verträge kannst du hier nachlesen: Cloudflare · Anthropic.

Rechtsgrundlage und Widerruf

Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: In der App unter Ich → Einstellungen → Lumi-Gespräche schaltest du „KI-Funktionen erlaubt“ oder „Fotos an die KI erlaubt“ aus. Ohne Einwilligung funktioniert Lumi weiter, nur ohne KI-Funktionen.

Was die KI nicht ist

Die Antworten sind allgemeine Begleitung und Schätzungen. Sie sind keine ärztliche Beratung, keine Diagnose und keine Dosierempfehlung.

7. Technische Daten beim Lumi-Server

Bei jeder KI-Anfrage verarbeitet der Lumi-Server deine IP-Adresse und eine zufällige Geräte-Kennung, die die App bei der Installation erzeugt. Beides dient nur dazu, die Zahl der Anfragen zu begrenzen und Missbrauch zu verhindern. Die Kennung enthält nichts über dich. Für die Bremse pro Minute zählt der Server nur im Arbeitsspeicher, nach einer Minute verfällt der Zählerstand. Für die Tagesgrenze speichert er je Gerät und je IP-Adresse einen Zähler in einer Datenbank von Cloudflare in Westeuropa. Geräte-Kennung und IP-Adresse werden dafür vorher mit einem geheimen Schlüssel unumkehrbar umgerechnet (gehasht), im Klartext werden sie nicht gespeichert. Gespeichert werden nur dieser Wert, der Tag und die Zahl der Anfragen. Die Zähler werden nach spätestens drei Tagen gelöscht. Der Lumi-Server legt keine Zugriffsprotokolle an. Rechtsgrundlage ist das berechtigte Interesse am sicheren Betrieb und am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung widersprechen (siehe Abschnitt 11). Die Geräte-Kennung speichert die App auf deinem Gerät und liest sie bei jeder KI-Anfrage aus. Das ist unbedingt erforderlich, damit Lumi die von dir gewünschte KI-Funktion bereitstellen kann (§ 25 Abs. 2 Nr. 2 TDDDG). Dasselbe gilt für den Speicher deines Browsers in der Web-Version (Abschnitt 10).

8. Kontaktformular und E-Mail

Schreibst du über das Kontaktformular, gehen dein Name, deine E-Mail-Adresse und deine Nachricht an den Lumi-Server bei Cloudflare. Er schickt sie über den E-Mail-Dienst von Cloudflare als E-Mail an dr.upro@upro-capital.com; Cloudflare leitet sie an das Postfach des Anbieters bei Apple (iCloud Mail) weiter und speichert selbst nichts davon. Dort liegt die E-Mail, bis deine Anfrage erledigt ist. Dafür gelten die Angaben zu Cloudflare in Abschnitt 6. Zum Schutz vor Missbrauch zählt der Server Anfragen pro IP-Adresse für jeweils eine Minute.

Bestellt eine Praxis über lumi.upro-capital.com Empfehlungskarten, speichert der Lumi-Server Praxisname, Ansprechperson, Anschrift, E-Mail-Adresse und Anzahl in einer Datenbank bei Cloudflare (Rechenzentrum in Westeuropa) und schickt dieselben Angaben als E-Mail an dr.upro@upro-capital.com. Die Angaben dienen nur dem Versand der Karten und der Zuordnung späterer QR-Scans zur Praxis (Art. 6 Abs. 1 lit. b DSGVO). Gelöscht wird, wenn die Zusammenarbeit mit der Praxis endet oder die Praxis es verlangt.

Schreibst du direkt eine E-Mail, kommen dieselben Angaben beim Anbieter an.

Die Daten werden nur genutzt, um deine Anfrage zu beantworten. Rechtsgrundlage ist die Anbahnung oder Durchführung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), sonst das berechtigte Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Sie werden gelöscht, wenn deine Anfrage erledigt ist und keine gesetzliche Aufbewahrungspflicht besteht. Bitte schick über das Formular keine Gesundheitsdaten.

9. Abo und Bezahlung

Die Abos Lumi Basis, Plus und Pro kaufst du über den App Store. Die Zahlung wickelt Apple ab. Der Anbieter erhält keine Zahlungs- oder Kontodaten. Damit nur zahlende Kundinnen die KI-Funktionen nutzen, schickt die App bei jeder KI-Anfrage den von Apple signierten Kaufbeleg deines aktiven Abos an den Lumi-Server. Er enthält das gekaufte Abo, Kauf- und Ablaufdatum und eine Transaktionsnummer von Apple, aber weder Namen noch Apple-ID. Der Server prüft die Signatur und gibt den Beleg nicht weiter. Damit ein Beleg nicht auf beliebig viele Geräte verteilt wird, speichert er die Transaktionsnummer und die Geräte-Kennung gehasht (wie in Abschnitt 7) zusammen mit dem Tag und löscht beides nach spätestens drei Tagen. Rechtsgrundlage ist die Erfüllung deines Abo-Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Für den Kauf selbst gelten die Datenschutzbestimmungen von Apple.

10. Web-Version

In der Web-Version speichert Lumi deine Einträge im Speicher deines Browsers, ebenfalls nur bei dir. Die Seite wird von Cloudflare, Inc. im Auftrag des Anbieters ausgeliefert. Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten wie deine IP-Adresse, damit die Seite bei dir ankommt und vor Angriffen geschützt ist. Der Anbieter hat keine Besucher-Statistik eingeschaltet und wertet diese Daten nicht aus. Rechtsgrundlage ist das berechtigte Interesse an einer sicheren und erreichbaren Webseite (Art. 6 Abs. 1 lit. f DSGVO). Für die Übermittlung an Cloudflare in die USA gelten der Angemessenheitsbeschluss und die Standardvertragsklauseln wie in Abschnitt 6 beschrieben. Wie lange Cloudflare Verbindungsdaten für die Sicherheit seines Netzes aufbewahrt, regelt der Auftragsverarbeitungsvertrag von Cloudflare.

11. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Weil deine Tagebuch-Daten nur auf deinem Gerät liegen, kannst du die meisten dieser Rechte direkt in der App ausüben: ansehen, ändern, exportieren, löschen. Für alles andere schreib an die oben genannte Adresse.

Dein Widerspruchsrecht

Wo die Verarbeitung auf berechtigtem Interesse beruht (Abschnitte 7, 8 und 10), kannst du ihr jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Schreib dafür formlos an die oben genannte E-Mail-Adresse.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

12. Änderungen

Ändern sich Funktionen der App, wird diese Erklärung angepasst. Es gilt die jeweils hier veröffentlichte Fassung.