Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Karolin Paluch
Friedrich-Ebert-Straße 30
65824 Schwalbach am Taunus
E-Mail: hello@mirariapp.com

2. Hosting (Vercel)

Diese Anwendung wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Beim Aufruf der Anwendung verarbeitet Vercel technisch notwendige Daten (insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, Browser- und Gerätedaten) in Server-Logfiles. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und performanten Betrieb).

Eine Übermittlung in die USA kann nicht ausgeschlossen werden. Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung wird durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert.

3. Datenbank und Authentifizierung (Supabase)

Für Datenbank, Datei-Speicher und Login nutzen wir Supabase, Inc. Die Daten werden in der Region eu-central-1 (Frankfurt am Main) gespeichert. Verarbeitet werden: E-Mail-Adresse, Passwort-Hash, Profil- und Abo-Status sowie sämtliche von dir angelegten Inhalte (Maps, Knoten, Notizen, Verbindungen, hochgeladene Dateien). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit Supabase besteht ein Auftragsverarbeitungsvertrag inklusive EU-Standardvertragsklauseln.

Anmeldung mit Google

Du kannst dich statt mit E-Mail und Passwort auch mit deinem Google-Konto anmelden. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Erst wenn du auf „Mit Google fortfahren“ klickst, wirst du zu Google weitergeleitet; vorher lädt Mirari nichts von Google. Google übermittelt uns dann deine E-Mail-Adresse, deinen Namen und die Adresse deines Profilbilds. Wir speichern davon E-Mail-Adresse und Vornamen; das Profilbild nutzen wir nicht. Zweck ist allein die Anmeldung, Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Eine Übermittlung in die USA ist möglich; sie stützt sich auf das EU-US Data Privacy Framework. Für die Weiterleitung speichern wir für höchstens 30 Minuten ein technisch notwendiges Cookie, in dem steht, über welche Seite du gekommen bist.

Bestätigung deiner E-Mail-Adresse

Nach der Registrierung kannst du Mirari sofort nutzen. Wir schicken dir einen Link, mit dem du bestätigst, dass die Adresse dir gehört. Ohne Bestätigung kannst du dein Konto sieben Tage lang voll nutzen, danach nur noch lesen. Konten, die 30 Tage nach der Registrierung nicht bestätigt sind, löschen wir samt aller Inhalte. Das schützt vor Konten mit fremden oder falschen Adressen (Art. 6 Abs. 1 lit. b und f DSGVO).

4. Zahlungsabwicklung (Stripe)

Kostenpflichtige Abos werden über Stripe abgewickelt (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Stripe erhält die für die Zahlung erforderlichen Daten (Name, E-Mail-Adresse, Zahlungsdaten). Wir selbst speichern keine vollständigen Zahlungsdaten, sondern nur eine Kundenreferenz und den Abo-Status. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: https://stripe.com/de/privacy

5. KI-Funktionen (Anthropic, Mistral)

Mirari bietet optionale KI-Funktionen (z. B. Fragen an die Map, Vorschläge, Lücken-Analyse, Zusammenfassungen, Quellen-Import). Wenn du eine KI-Funktion aktiv auslöst, werden die Inhalte der betroffenen Map (Knoten-Titel, Notizen, Verbindungen bzw. die von dir übergebene Quelle) an die Anthropic API (Anthropic, PBC, USA) übermittelt und dort zur Erzeugung der Antwort verarbeitet.

Die Übermittlung erfolgt ausschließlich bei aktiver Nutzung der KI-Features durch dich — es findet keine automatische Hintergrund-Übermittlung deiner Inhalte statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir angeforderten Funktion). Die Übermittlung in die USA wird durch EU-Standardvertragsklauseln abgesichert. Die übermittelten Inhalte werden nicht zum Training von KI-Modellen verwendet.

Lädst du in der Sammelstation eine Sprachnotiz oder einen Mitschnitt hoch, wird die Audiodatei zur Umwandlung in Text an Mistral AI (Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich) übermittelt. Die Verarbeitung erfolgt innerhalb der Europäischen Union. Mit Mistral besteht ein Auftragsverarbeitungsvertrag; die Nutzung der übermittelten Aufnahmen zum Training von KI-Modellen ist ausgeschlossen. Den entstandenen Text bereinigt anschließend Anthropic (siehe oben). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. E-Mail-Versand (Resend)

Systemnachrichten, die für den Betrieb deines Kontos nötig sind — Bestätigung deiner E-Mail-Adresse, Zurücksetzen des Passworts, Hinweise zum Abo, der Link zu deiner Map, den du dir am Handy selbst schicken kannst, und der Hinweis, dass ein unterwegs gesammelter Gedanke noch auf seinen Platz in der Map wartet — versenden wir über Resend (Plus Five Five, Inc., 2261 Market Street, San Francisco, CA 94114, USA). Übermittelt werden dabei deine E-Mail-Adresse und der Inhalt der jeweiligen Nachricht.

Der Versand selbst erfolgt über Server in der Region eu-west-1 (Irland), also innerhalb der Europäischen Union. Ein Zugriff aus den USA durch den Anbieter lässt sich gleichwohl nicht ausschließen; mit Resend besteht ein Auftragsverarbeitungsvertrag, die Übermittlung ist durch EU-Standardvertragsklauseln abgesichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Zustelldaten (Zeitpunkt, Empfängeradresse, Zustellstatus) werden bei Resend für maximal 30 Tage protokolliert.

7. Gesundheitsbezogene Daten (Art. 9 DSGVO)

Mirari ist ein Werkzeug zur Wissensorganisation. Du entscheidest selbst, welche Inhalte du speicherst. Wenn du gesundheitsbezogene Daten oder andere Daten besonderer Kategorien im Sinne von Art. 9 DSGVO erfasst — insbesondere Daten von Patientinnen und Patienten oder Klientinnen und Klienten — bist du als Nutzerin bzw. Nutzer dafür verantwortlich, dass diese Verarbeitung zulässig ist (z. B. Einwilligung der betroffenen Person, Einhaltung deiner Berufspflichten und Schweigepflicht).

Verarbeitest du personenbezogene Daten Dritter in Mirari im Rahmen deiner beruflichen Tätigkeit, kann der Abschluss eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) erforderlich sein. Diesen erzeugst du dir in den Einstellungen deines Kontos als PDF; bei Rückfragen erreichst du uns unter hello@mirariapp.com

Fallmaps sehen kein Feld für Namen, Geburtsdaten oder Kontaktdaten vor. Sie bekommen stattdessen eine fortlaufende Kennung im Format F-JJJJ-NNN. Der Schlüssel, welche Kennung zu welcher Person gehört, verbleibt bei dir und wird von uns weder abgefragt noch gespeichert. Das ist eine Pseudonymisierung, keine Anonymisierung: Solange du die Zuordnung kennst, bleiben die Daten personenbezogen.

8. E-Mail-Liste und Warteliste

Auf der Startseite kannst du deine E-Mail-Adresse hinterlassen, um die Demo-Map und Beispiel-Maps zugeschickt zu bekommen. Auf der englischsprachigen Fassung der Startseite kannst du dich zusätzlich auf eine Warteliste für eine mögliche englische Version eintragen und dabei angeben, welche der beiden Preisvarianten für dich passen würde.

Welche Daten: deine E-Mail-Adresse, die Sprachfassung des Formulars, die Herkunft der Eintragung sowie — bei der Warteliste — die von dir gewählte Preisvariante. Mehr nicht; insbesondere kein Name und keine Angaben zu deiner Praxis.

Wozu: um dir die angeforderten Inhalte zu schicken beziehungsweise dich zu benachrichtigen, wenn die englische Version erscheint. Die Preisangabe dient ausschließlich der Entscheidung, ob diese Version überhaupt gebaut wird. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Wie lange: bis du widerrufst, längstens 24 Monate nach der Eintragung. Eine Wartelisten-Eintragung wird spätestens gelöscht, wenn über die englische Version entschieden ist und du benachrichtigt wurdest.

Widerruf: jederzeit formlos, es genügt eine Antwort auf eine unserer E-Mails oder eine Nachricht an hello@mirariapp.com. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

9. Messung von Werbeanzeigen (Meta-Pixel und Conversions API)

Auf den Verkaufsseiten dieser Website (nicht in der angemeldeten Anwendung) setzen wir den Meta-Pixel und die Conversions API von Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland, ein. Damit lässt sich nachvollziehen, über welche Anzeige jemand zu Mirari gekommen ist und ob daraus eine Registrierung geworden ist.

Nur mit deiner Einwilligung. Ohne deine Zustimmung wird kein Skript von Meta geladen, es wird kein Cookie gesetzt und es werden keine Daten an Meta übermittelt. Die Seite funktioniert in vollem Umfang ohne diese Einwilligung. Rechtsgrundlage für das Speichern und Auslesen von Informationen auf deinem Endgerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO.

Welche Daten: die von Meta gesetzten Cookies (_fbp, _fbc), die Kennung des Anzeigenklicks (fbclid), IP-Adresse und Browserkennung im Moment der Registrierung sowie deine E-Mail-Adresse in verschlüsselter Form (SHA-256). Übermittelt werden außerdem die Namen der Ereignisse „Seitenaufruf“, „Registrierung abgeschlossen“, „Aktiviert“ und „Abonnement“ und — nur beim Abonnement — der Rechnungsbetrag.

Welche Daten ausdrücklich nicht: keine Inhalte aus deinen Maps, keine Knoten, Notizen, Quellen oder Fallmap-Kennungen, keine Namen von Starter-Maps und keine Angaben, die auf ein Gesundheitsthema schließen lassen. In der angemeldeten Anwendung findet diese Messung nicht statt — dort wird nichts von Meta geladen und nichts an Meta gesendet, unabhängig von deiner Entscheidung auf der Website.

Gemeinsame Verantwortlichkeit und Drittland: Für die Erhebung und Übermittlung der Daten sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung ist Meta allein verantwortlich. Dabei können Daten in die USA übermittelt werden. Einzelheiten zur Verarbeitung durch Meta und zu deinen Rechten dort stehen in der Datenschutzrichtlinie von Meta.

Widerruf: jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile der Verkaufsseiten. Der Widerruf beendet die Messung sofort und löscht die von Meta gesetzten Cookies. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Unabhängig davon halten wir in unserer eigenen Datenbank fest, über welche Kampagne ein Konto entstanden ist (Kampagnen-Kurzkennungen aus der Adresse, keine Cookies) und ob bestimmte erste Schritte in der Anwendung stattgefunden haben. Diese Auswertung ist für uns bestimmt und wird nicht an Dritte übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an der Beurteilung eigener Werbemaßnahmen und an der Verbesserung des Dienstes, Art. 6 Abs. 1 lit. f DSGVO.

10. E-Mails zur Nutzung und Angebote

Nach der Registrierung schicken wir dir einige kurze E-Mails, die dir beim Einstieg helfen — etwa, wenn deine Starter-Map noch ungeöffnet ist oder dein Testzeitraum bald endet. Welche Mail du bekommst, hängt davon ab, welche Schritte du in Mirari schon getan hast. Diese Entscheidung trifft Mirari selbst, auf unseren eigenen Servern.

Welche Daten wir dafür nutzen: deinen Vornamen, den gebuchten Tarif, das Ende deines Testzeitraums, ob und wann du bestimmte erste Schritte getan hast (Starter-Map geöffnet, erster eigener Knoten, erste Quelle importiert, erste Fallmap angelegt, erste Notiz in der Sammelstation, Abo abgeschlossen), ob deine E-Mail-Adresse bestätigt ist, ob du als Testerin teilnimmst, den Namen der übernommenen Starter-Map, ob du Angeboten zugestimmt hast, und welche dieser Mails du schon bekommen hast.

Versand: Verschickt werden die Mails über denselben Dienst wie die Systemnachrichten, Resend (siehe Abschnitt 6), über Server in Irland. Resend erhält dabei nur deine E-Mail-Adresse und den fertigen Text der jeweiligen Mail samt Vorname — keine Angaben dazu, was du in Mirari getan hast.

Welche Daten ausdrücklich nicht: keine Inhalte deiner Maps, keine Knoten, Notizen oder Quellen, keine Fallmaps und keine Daten deiner Klientinnen.

Rechtsgrundlage: Für die Hinweise zur Nutzung deines Kontos unser berechtigtes Interesse, dir den Einstieg in ein Produkt zu erleichtern, das du gerade selbst angelegt hast (Art. 6 Abs. 1 lit. f DSGVO). Für Angebote deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du bei der Registrierung oder in den Einstellungen erteilen kannst. Wirksam wird sie erst, wenn du deine E-Mail-Adresse bestätigt hast. Ohne sie bekommst du keine Angebote. Den Wortlaut, dem du zugestimmt hast, und den Zeitpunkt speichern wir als Nachweis.

Widerspruch und Widerruf: Jede dieser E-Mails enthält einen Abmeldelink, der ohne Anmeldung mit einem Klick wirkt. Wer sich abmeldet, bekommt auch keine Angebote mehr. Die Einwilligung in Angebote kannst du außerdem jederzeit in den Einstellungen zurücknehmen. Beides wirkt sofort.

Wie lange: Welche Mails du bekommen hast und ob du dich abgemeldet hast, speichern wir, solange dein Konto besteht, damit du keine Mail doppelt bekommst und nach einer Abmeldung keine mehr. Löschst du dein Konto, werden diese Angaben mit gelöscht. Resend protokolliert den Versand selbst höchstens 30 Tage.

11. Maps zum Übernehmen teilen

Gibst du eine Map zum Übernehmen frei, ist eine Vorschau unter einem zufällig erzeugten Link ohne Anmeldung abrufbar. Sie zeigt den Titel der Map, die Knoten mit ihren Verbindungen und Clustern sowie je Zettel einen kurzen Anriss von höchstens 120 Zeichen. Deinen Namen zeigt sie nur, wenn du das bei der Freigabe ausdrücklich auswählst; deine E-Mail-Adresse und andere Kontodaten erscheinen nie. Die Vorschau ist für Suchmaschinen gesperrt.

Um dir die Zahl der Aufrufe und Übernahmen deiner Freigabe anzuzeigen und um Missbrauch wie automatisiertes Abgreifen zu begrenzen, speichern wir zu jedem Aufruf, jedem Klick auf „Map übernehmen“, jeder Registrierung und jeder Übernahme den Zeitpunkt und einen Prüfwert (Hash) der IP-Adresse. Dieser Prüfwert wird täglich neu gebildet; er lässt sich weder in die IP-Adresse zurückrechnen noch über mehrere Tage hinweg einer Person zuordnen. Die IP-Adresse selbst speichern wir nicht. Die Prüfwerte entfernen wir nach 30 Tagen, die Zählereignisse löschen wir nach 24 Monaten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb und an der Auswertung der Funktion (Art. 6 Abs. 1 lit. f DSGVO).

Registrierst du dich über einen solchen Link, speichern wir an deinem Konto, über welche Freigabe du gekommen bist. Das dient der Auswertung, welche geteilten Maps neue Nutzerinnen und Nutzer bringen (Art. 6 Abs. 1 lit. f DSGVO), und bleibt gespeichert, solange dein Konto besteht. Die Person, die die Map geteilt hat, sieht nur die Anzahl der Aufrufe und Übernahmen – nicht, wer die Map übernommen hat.

Übernimmst du eine Map, entsteht in deinem Konto eine unabhängige Kopie. Angehängte Dateien wie Fotos, PDFs und Sprachaufnahmen werden dabei nicht übertragen.

12. Auswertung der Nutzung zur Verbesserung von Mirari

Wir speichern, wann du bestimmte Funktionen zum ersten Mal nutzt (z. B. erste Quelle importiert, erste Verbindung angelegt) und wann du zuletzt in der App aktiv warst. Wir nutzen diese Angaben ausschließlich intern, um den Einstieg in Mirari zu verbessern und dich mit passenden Hinweisen zu unterstützen. Inhalte deiner Maps werten wir dafür nicht aus. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben werden gelöscht, wenn du dein Konto löschst.

13. Speicherdauer, Betroffenenrechte, Beschwerderecht

Speicherdauer

Deine Inhalte bleiben gespeichert, solange dein Konto besteht. Löschst du Inhalte oder dein Konto, werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. steuerrechtliche Fristen für Rechnungsdaten) entgegenstehen. Sicherungskopien der Datenbank werden rollierend vorgehalten und nach spätestens 30 Tagen überschrieben.

Deine Rechte

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)

Zur Ausübung deiner Rechte genügt eine formlose E-Mail an: hello@mirariapp.com

Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO) — bei der für deinen Wohnort zuständigen Behörde oder bei der für unseren Sitz zuständigen:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
datenschutz.hessen.de