CarePilot-Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie Utility Lab Studio („wir”) personenbezogene Daten innerhalb der mobilen Anwendung CarePilot (die „App”) verarbeitet. CarePilot ist ein Werkzeug zur Koordination der Pflege in der Familie für Pflegende. Es ist KEINE medizinische App und bietet KEINE klinische Beratung.

Diese Erklärung gilt nur für die App. Die Website utilitylabstudio.com hat ihre eigene Datenschutzerklärung.

1. Verantwortlicher

In CarePilot laufen zwei verschiedene Verarbeitungen nebeneinander, und man sollte sie auseinanderhalten, denn dafür ist nicht dieselbe Person verantwortlich:

• Ihre Kontodaten (E-Mail-Adresse, Sprache, gebuchter Plan, technische Daten): Verantwortlicher ist Utility Lab Studio. Wir entscheiden, wie die App funktioniert, wo die Daten gespeichert werden und mit welchen Anbietern.
• Die Inhalte der Pflegegruppe (die Informationen über die gepflegte Person, ihre Medikamente, ihre Termine, ihre Dokumente): Was dort eingetragen wird, entscheidet die Person, die die Gruppe anlegt, und sie ist auch dafür verantwortlich, dazu befugt zu sein. Wir tragen diese Inhalte weder ein noch können wir sie lesen: Sie verlassen ihr Gerät verschlüsselt.

Bei Fragen schreiben Sie an info@utilitylabstudio.com.

2. Daten, die die App verarbeitet

2.1. Kontodaten

• E-Mail-Adresse (Registrierung und Anmeldung).
• Name oder Pseudonym (optional).
• Profilfoto (optional).
• Automatisch erzeugte eindeutige Kontokennung.

Sie können das Konto mit E-Mail und Passwort, mit Google oder mit Apple erstellen. Wenn Sie Mit Apple anmelden nutzen und Ihre E-Mail-Adresse verbergen, erhalten wir von Apple eine private Weiterleitungsadresse (@privaterelay.appleid.com): Ihre echte E-Mail-Adresse erreicht unsere Server nie.

2.2. Pflegegruppendaten

Eine Pflegegruppe enthält Informationen über die gepflegte Person („Pflegeempfänger”) und die Personen, die sie pflegen („Mitglieder”). Sie umfasst:

• Name, Alter, optionales Foto der gepflegten Person.
• Relevante medizinische Daten: Allergien, Erkrankungen, Blutgruppe, Versicherungsnummer (optional).
• Not- und Familienkontakte (Name, Telefon).
• Adresse und Kontaktdaten des Patienten (optional, für SOS).
• Liste der Gruppenmitglieder, ihre Rollen und Berechtigungen.

2.3. Pflegeaktivitätsdaten

• Medikamente, Dosierungen, Häufigkeiten, Zeitpläne und Einnahmeprotokolle.
• Arzttermine, Fachärzte, Erinnerungen und Notizen.
• Tägliche Pflegeaufgaben und Routinen.
• Gemeinsame Ausgaben, fotografierte Belege, benutzerdefinierte Kategorien.
• Optionale Dokumente: Rezepte, medizinische Berichte, zugehörige Fotos.
• Von Gruppenmitgliedern verfasste Notizen.
• Historische Aufzeichnungen der Schichtübergaben.
• Audit-Log: wer was innerhalb der Gruppe getan hat, mit Zeitstempel.

2.4. Technische Daten

• Gerätekennung und Push-Benachrichtigungs-Token (Firebase Cloud Messaging; auf dem iPhone über den Apple Push Notification service, APNs).
• IP-Adresse, kurzzeitig zu Sicherheits- und Missbrauchspräventionszwecken protokolliert.
• Gerätesprache und Zeitzone.
• App-Version, Gerätemodell und Betriebssystem (zur technischen Diagnose).
• Absturzberichte (Firebase Crashlytics), falls die App nicht mehr reagiert. Diese enthalten technische Stack-Traces, keine personenbezogenen Daten.

2.5. Daten, die NICHT erhoben werden

CarePilot erhebt keine: Hintergrundstandortdaten, Telefonkontakte, Browserverlauf, Daten aus sozialen Medien, biometrische Daten (über den lokalen Fingerabdruck/die Gesichtserkennung hinaus, die vom Betriebssystem zum Entsperren der App verwendet werden und NIEMALS Ihr Gerät verlassen) oder verhaltensbasierte Werbedaten.

3. Ende-zu-Ende-Verschlüsselung (E2E)

Alle sensiblen Gruppeninformationen werden auf Ihrem Gerät verschlüsselt, bevor sie an unsere Server gesendet werden. Nur Gruppenmitglieder besitzen die Schlüssel zum Entschlüsseln. Dazu gehören:

• Name und persönliche Daten der gepflegten Person.
• Medikamente, Termine, Notizen und Dokumente (bei Ausgaben: Beschreibung und Kategorie; siehe die Ausnahmen weiter unten).
• Zugehörige Fotos (Rezepte, Belege, Berichte).
• Audit-Log mit Aktionsdetails.
• Anzeigenamen der Gruppenmitglieder.

Utility Lab Studio hat keinen technischen Zugriff auf verschlüsselte Inhalte. Die durch unsere Server (Firebase, Cloud Storage) fließenden Daten sind so verschlüsselt, dass nur Gruppenmitglieder sie lesen können.

Einige Ausnahmen bleiben aus funktionalen Gründen unverschlüsselt, und wir zählen sie lieber vollständig auf:

• Eindeutige Kontokennungen (UID), Benutzer-E-Mail für die Anmeldung, Gruppen-ID und Zeitstempel.
• Betrag, Datum und Währung jeder Ausgabe. Der Server benötigt sie, um Ihre Wochenübersichten zu berechnen und Sie auf eine ungewöhnlich hohe Ausgabe hinzuweisen. Beschreibung, Kategorie und wer bezahlt hat, sind sehr wohl verschlüsselt: Wir können sehen, dass an einem Dienstag 40 € ausgegeben wurden, aber nicht, wofür.
• Der Gruppenschlüssel, solange ein Einladungscode aktiv ist. Damit wir ihn der beitretenden Person übergeben können, liegt er auf unseren Servern, geschützt durch ein Geheimnis von uns. Der Code gilt nur einmal: Sobald ihn jemand einlöst, werden sowohl der Code als auch diese Kopie des Schlüssels gelöscht.

4. KI-Verarbeitung

CarePilot bietet eine Scanfunktion: Fotografieren Sie ein Rezept, einen Termin oder einen Beleg, und die KI extrahiert die Daten automatisch.

Hierfür nutzen wir Google Cloud Vertex AI in der europäischen Region (europe-west1) mit dem Modell Gemini 2.5 Flash. Wir haben die Verarbeitung mit Zero Data Retention konfiguriert:

• Gescannte Bilder werden auf Googles Servern NICHT aufbewahrt.
• Bilder werden NICHT zum Training von KI-Modellen verwendet.
• Sie werden zum Zeitpunkt der Übermittlung verarbeitet und unmittelbar danach verworfen.
• Die Verarbeitung erfolgt vollständig innerhalb der Europäischen Union.

Offizielle Dokumentation: Vertex AI Data Governance.

5. An Dritte weitergegebene Daten

Wir verkaufen oder übertragen keine Daten zu kommerziellen Zwecken an Dritte.

Anbieter, die Daten in unserem Auftrag verarbeiten:

• Google LLC / Firebase — Benutzerauthentifizierung, verschlüsselte Datenbank, verschlüsselter Fotospeicher, Push-Benachrichtigungen und Absturzberichte. Wenn möglich, werden Daten in europäischen Regionen gespeichert. (Firebase Datenschutz)
• Google Cloud Vertex AI — Bildverarbeitung für das Scannen von Rezepten/Terminen/Belegen, mit Zero Data Retention.
• Google Play Billing — Abwicklung von Zahlungen und Abonnements für die Pläne Plus und Pro auf Android-Geräten. Google Play erhält nur die zur Zahlungsabwicklung notwendigen Mindestdaten gemäß seinen eigenen Richtlinien. (Google Datenschutz)
• Apple Inc. — auf dem iPhone: Abwicklung von Zahlungen und Abonnements über In-App-Käufe, Zustellung von Push-Benachrichtigungen (APNs) und Anmeldung mit Apple, sofern Sie diese wählen. Apple verarbeitet diese Daten gemäß seinen eigenen Richtlinien. (Apple Datenschutz)

6. App-Berechtigungen

CarePilot fordert diese Berechtigungen auf Ihrem Gerät nur an, wenn sie erforderlich sind (die genauen Bezeichnungen unterscheiden sich zwischen Android und iPhone):

• Kamera — Scannen von Rezepten, Terminen, Belegen und optionalen Fotos.
• Speicher / Galerie — vorhandene Fotos anhängen.
• Benachrichtigungen — Erinnerungen an Medikamente, Termine und Schichten.
• Biometrie — optionales Entsperren per Fingerabdruck oder Gesicht (verlässt NIEMALS das Gerät).
• Genauer Standort — nur auf Anforderung, wenn Sie in SOS auf „Meinen aktuellen Standort anzeigen” tippen. Niemals im Hintergrund. Niemals gespeichert.
• Internet — Synchronisierung mit verschlüsselten Servern.
• Vibration — Rückmeldung bei Benachrichtigungen.

7. Zweck und Rechtsgrundlage

• Erbringung des von Ihnen angeforderten Koordinationsdienstes (Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO).
• Erfüllung unserer rechtlichen Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO).
• Sicherheit der App und Missbrauchsprävention (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
• Verbesserung des Dienstes durch anonyme technische Berichte (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

Die Gesundheitsdaten der gepflegten Person

Was über die gepflegte Person eingetragen wird — Allergien, Erkrankungen, Medikamente, medizinische Dokumente —, gehört zu einer besonderen Kategorie personenbezogener Daten (Art. 9 DSGVO) und verdient eine eigene Erklärung.

Diese Person nutzt CarePilot in der Regel nicht und ist häufig auch nicht in der Lage, über ihre Daten zu entscheiden: Genau deshalb wird sie ja gepflegt. Wer die Gruppe anlegt, entscheidet, was eingetragen wird, und ist dafür verantwortlich, dazu befugt zu sein — üblicherweise als betreuendes Familienmitglied oder als gesetzlicher Vertreter, gestützt auf den Schutz lebenswichtiger Interessen einer Person, die ihre Einwilligung nicht geben kann (Art. 9 Abs. 2 lit. c DSGVO).

Utility Lab Studio fügt keine Informationen über sie hinzu, ergänzt oder deutet nichts: Wir speichern lediglich verschlüsselt das, was die Gruppenmitglieder schreiben. Lesen können wir es nicht.

Wenn ihr gesetzlicher Vertreter wissen möchte, welche Daten vorliegen, oder sie berichtigen oder löschen lassen will, kann er uns an info@utilitylabstudio.com schreiben. Wer die Gruppe organisiert, kann sie außerdem jederzeit in der App löschen; mit dem Löschen der Gruppe verschwinden sie alle.

8. Datenaufbewahrung

Wir bewahren Ihre Daten auf, solange Ihr Konto aktiv ist. Wenn Sie Ihr Konto in der App (Einstellungen → Konto löschen) löschen, entfernen wir:

• Ihr Benutzerkonto und alle zugehörigen Daten.
• Gruppen, in denen Sie Administrator sind, mit allen Untersammlungen (Medikamente, Termine, Ausgaben, Notizen, Dokumente, Fotos, Audit-Logs).
• Ihre Mitgliedschaft in Gruppen, in denen Sie nicht Administrator sind (die Gruppendaten bleiben für die übrigen Mitglieder erhalten).
• Ihr Backup des Wiederherstellungsschlüssels.
• Ihr Authentifizierungskonto.

Die Löschung ist vollständig und unwiderruflich. Gemäß dem Recht auf Vergessenwerden (Art. 17 DSGVO).

📄 Schritt-für-Schritt-Anleitung: siehe CarePilot-Konto löschen für das detaillierte Verfahren in der App, welche Daten gelöscht werden, welche Restdaten aus rechtlichen Gründen aufbewahrt werden können und wie Sie Ihre Informationen vor der Kontolöschung exportieren.

Inaktive Konten

Wenn Sie die App 12 Monate lang nicht öffnen und kein aktives Abonnement haben, löschen wir das Konto und seine Daten. Wir benachrichtigen Sie 30 Tage vorher und noch einmal 7 Tage vorher per E-Mail; es genügt, die App zu öffnen, damit der Zähler wieder bei null steht. Wenn Sie eine Gruppe organisieren, in der weitere Personen sind, rühren wir diese nicht an.

Sichtbarer Verlauf je nach Plan

Je nach Plan der Gruppe wird ein unterschiedlich langer Zeitraum des Verlaufs von Ausgaben, Notizen und Aktivitäten angezeigt (14 Tage im kostenlosen Plan, 6 Monate bei Plus, unbegrenzt bei Pro). Was außerhalb dieses Zeitfensters liegt, wird ausgeblendet, nicht gelöscht: Ändert sich der Plan, erscheint es wieder.

Einige technische Datensätze (anonymisierte Fehlerprotokolle, Sicherheitsdatensätze) können aus betrieblichen Gründen bis zu 90 Tage aufbewahrt werden.

9. Datenübertragbarkeit

Über Einstellungen → „Meine Daten exportieren” können Sie eine vollständige Kopie Ihrer Daten in zwei Formaten herunterladen:

• PDF — lesbares, formatiertes Ergebnis.
• JSON — strukturiertes technisches Format, gemäß Art. 20 DSGVO.

Beide enthalten alle Ihre Informationen: Profil, Gruppen, Routinen, Termine, Ausgaben, Dokumente, Notizen und Aufzeichnungen.

10. Ihre Rechte

Gemäß DSGVO haben Sie das Recht auf:

• Auskunft — über die Exportfunktion oder auf Anfrage an info@utilitylabstudio.com.
• Berichtigung — die meisten Daten sind direkt in der App bearbeitbar.
• Löschung — vollständige Löschung über die Einstellungen.
• Datenübertragbarkeit — Export als PDF + JSON.
• Einschränkung und Widerspruch — schreiben Sie an info@utilitylabstudio.com.
• Widerruf der Einwilligung jederzeit.
• Beschwerde bei Ihrer örtlichen Datenschutzbehörde einreichen.

11. Kontowiederherstellung und Schlüsselverlust

Zum Schutz der E2E-Verschlüsselung befinden sich die Verschlüsselungsschlüssel Ihrer Gruppe auf Ihrem Gerät. CarePilot bietet ein durch einen Wiederherstellungscode (PIN) geschütztes Schlüsselbackup, das Sie selbst wählen.

Wenn Sie Ihren Wiederherstellungscode verlieren und sich von allen Ihren Geräten abmelden, sind die verschlüsselten Daten nicht wiederherstellbar — auch nicht durch uns. Dies ist die direkte Folge einer echten E2E-Verschlüsselung. Bewahren Sie Ihren Wiederherstellungscode an einem sicheren Ort auf.

12. Minderjährige

CarePilot richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen. Wenn Sie der Meinung sind, dass ein Minderjähriger ein Konto erstellt hat, kontaktieren Sie uns, und wir werden es löschen.

13. Internationale Datenübermittlungen

Firebase und Vertex AI sind so konfiguriert, dass sie hauptsächlich von europäischen Regionen aus betrieben werden (europe-west1). Einige zusätzliche Google-Dienste (Push-Benachrichtigungen, Kontoverwaltung) können Übermittlungen in die Vereinigten Staaten erfordern. In solchen Fällen wendet Google die Standardvertragsklauseln der Europäischen Kommission als rechtlichen Übermittlungsmechanismus an.

14. Sicherheit

Wir wenden geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten an:

• Verschlüsselung bei der Übertragung (TLS 1.3).
• Ende-zu-Ende-Verschlüsselung sensibler Inhalte.
• Verschlüsselung im Ruhezustand auf den Servern.
• Strenge Firebase-Sicherheitsregeln, die den Datenzugriff beschränken.
• Regelmäßige Code- und Abhängigkeitsprüfungen.
• Optionales Entsperren per Fingerabdruck/Gesicht auf App-Ebene.

15. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, um Funktionsänderungen oder rechtliche Anforderungen widerzuspiegeln. Bei wesentlichen Änderungen werden wir Sie über die App oder per E-Mail informieren. Das Datum „Stand” erscheint oben.

16. Kontakt

Bei Fragen zum Datenschutz schreiben Sie an info@utilitylabstudio.com mit „CarePilot Datenschutz” im Betreff. Wir antworten innerhalb von 30 Tagen.

ℹ️ Diese Übersetzung dient ausschließlich der Information. Im Falle von Abweichungen gilt die englische Originalfassung als rechtlich verbindlich.