Datenschutzerklärung
EverAct App und Website · Stand April 2026
1. Verantwortlicher
Hinweis: Ein Datenschutzbeauftragter wurde nicht bestellt, da die Voraussetzungen für die Bestellpflicht gemäß Art. 37 DSGVO nicht erfüllt sind.
2. Verarbeitungen der Gesundheitsdaten
Welche Gesundheitsdaten werden verarbeitet?
Wir verarbeiten folgende Daten aus Apple HealthKit (nach Ihrer expliziten Einwilligung):
| Datentyp | Beispiel | Zweck |
|---|---|---|
| Schritte | Anzahl der Schritte pro Tag | Berechnung des Sport-Scores |
| Workouts | Trainingseinheiten (Laufen, Radfahren, etc.) | Berechnung des Sport-Scores |
| Aktive Kalorien | Verbrannte Kalorien während Aktivitäten | Berechnung des Sport-Scores |
Rechtsgrundlage
Art. 9(2)(a) DSGVO - Explizite Einwilligung
Die Verarbeitung Ihrer Gesundheitsdaten erfolgt auf Grundlage Ihrer ausdrücklichen Einwilligung. Sie können diese Einwilligung jederzeit widerrufen.
Keine kommerzielle Nutzung
Ihre Gesundheitsdaten werden nicht verwendet für:
- Werbung oder Marketing
- Datenhandel oder Verkauf an Dritte
- Entwicklung von Produkten für andere Zwecke als EverAct
3. Wallet- und Blockchain-Daten
| Wallet-Adresse | 0x1234...5678 | Identifizierung für Token-Empfang |
| Transaktionshistorie | Alle Token-Transfers on-chain | Transparenz und Nachverfolgbarkeit |
Wichtiger Hinweis zur Transparenz
Alle Transaktionen mit ECO-Token werden auf der Sonic Blockchain öffentlich gespeichert. Ihre Wallet-Adresse ist für jeden sichtbar. Transaktionsbeträge und -zeitpunkte sind öffentlich einsehbar.
Konflikt zwischen Blockchain und DSGVO
On-Chain-Daten sind technisch nicht löschbar. Das Recht auf Löschung (Art. 17 DSGVO) gilt daher nicht für Blockchain-Transaktionen, da die Unveränderlichkeit der Blockchain eine technische Unmöglichkeit der Löschung darstellt.
4. Authentifizierung (Thirdweb)
EverAct verwendet Thirdweb für die Wallet-Authentifizierung:
Google OAuth
E-Mail, Name
Apple Sign In
E-Mail, Name
E-Mail-Adresse
Rechtsgrundlage: Art. 6(1)(b) DSGVO - Vertragserfüllung
5. Kassenbon-Verarbeitung
Bei Kassenbon-Scans werden folgende Daten verarbeitet:
| Datentyp | Beispiel | Speicherdauer |
|---|---|---|
| Händler-Name | REWE, ALDI | Maximal 2 Tage |
| Kaufdatum | 2026-04-10 | Maximal 2 Tage |
| Gesamtbetrag | 47,83 EUR | Maximal 2 Tage |
| Fingerabdruck | SHA256(merchant+date+total+hour) | Maximal 2 Tage |
Keine Speicherung von Fotos: Wir speichern keine Fotos Ihrer Kassenbons. Es wird nur der durch OCR extrahierte Text verarbeitet. Die automatische Löschung erfolgt um 00:01 UTC täglich.
Rechtsgrundlage: Art. 6(1)(b) DSGVO - Vertragserfüllung
6. Score-Daten
Der ECO-Token-Score wird automatisch berechnet basierend auf:
- Verbrauchs-Score (max. 15): Basierend auf der CO₂-Analyse Ihres Einkaufs
- Sport-Score (max. 8): Basierend auf Ihren HealthKit-Daten
- Bonus-Score (max. 2): Für zusätzliche Aktivitäten
Speicherung: Cloudflare KV (verschlüsselt) · Tägliche Löschung: Nach Blockchain-Transfer um 00:00 UTC
7. Externe Dienste und Drittlandtransfer
Übersicht der externen Dienste
| Dienst | Anbieter | Zweck |
|---|---|---|
| Cloudflare Workers | Cloudflare, Inc., USA | Receipt validation, Score storage |
| Google Gemini AI | Google LLC, USA | CO₂ analysis of receipt texts |
| Thirdweb | Thirdweb, Inc., USA | Wallet authentication |
| Apple HealthKit | Apple Inc., USA | Health data retrieval |
Drittlandtransfer (USA): Der Transfer von personenbezogenen Daten in die USA erfolgt auf Basis von Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO.
8. Betroffenenrechte
Sie haben als betroffene Person folgende Rechte:
Recht auf Auskunft (Art. 15)
Bestätigung und Kopie der verarbeiteten Daten
Recht auf Berichtigung (Art. 16)
Korrektur unrichtiger Daten
Recht auf Löschung (Art. 17)
Löschung sofern keine Aufbewahrungspflichten
Recht auf Datenübertragbarkeit (Art. 20)
Strukturiertes, maschinenlesbares Format
Ausübung Ihrer Rechte: frederik.pietratus@gmail.com
Widerruf der Einwilligung (Gesundheitsdaten): In iOS unter Einstellungen → Datenschutz → Health → EverAct → Zugriff widerrufen
9. Beschwerde bei der Aufsichtsbehörde
Zuständige Aufsichtsbehörde
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Gustav-Stresemann-Ring 1, 65189 Wiesbaden
Telefon: 0611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
Stand: April 2026 · Nächste Überprüfung geplant: April 2027