1. Start
2. Datenschutzerklärung

Datenschutzerklärung

Stand: 20. Oktober 2026 Gilt für: die App RecTake (iOS und Android) und die Website rectake.de

Das Wichtigste in vier Sätzen

Deine Einträge — was du nimmst, was du isst, wie es dir geht — liegen in einer Datenbank auf deinem Telefon. Sie werden nicht zu uns übertragen. Auch die Sprachaufnahme bleibt dort: Dein Telefon wandelt sie selbst in Text um, mit der Spracherkennung seines Betriebssystems. Dein Konto kennt deine E-Mail-Adresse, eine Konto-ID und deinen Abo-Status — nicht, was du einträgst.

Kein Gesundheitsdatum verlässt dein Gerät.

Der Rest dieses Textes erklärt das im Einzelnen, weil er es rechtlich muss.

1. Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

IT Consulting & Development Tino Sanchez Ross
Bismarckring 6
65185 Wiesbaden
Deutschland

E-Mail:   support@rectake.de

Der zweite Kontaktweg ist das Kontaktformular auf der Support-Seite (Abschnitt 2.7).

Datenschutzbeauftragter: nicht benannt.

2. Welche Daten verarbeitet werden

2.1 Deine Einträge — Gesundheitsdaten, die auf dem Gerät bleiben

Das sind die Daten, um die es in der App eigentlich geht. Die App kennt genau sechs Arten von Einträgen:

Bis zum 15. September 2026 gab es zusätzlich eigene Arten für Koffein und für Symptome. Beide sind entfallen; was darin stand, steht jetzt bei den Getränken beziehungsweise in der Notiz. An der Schutzstufe dieser Angaben ändert das nichts.

Dazu kommen:

• Historie — jeder erfasste Tag
• Routinen — deine wiederkehrenden Abläufe
• Wortschatz — die Präparat- und Lebensmittelnamen, die du benutzt
• der fertige Text deiner Einträge
• Fotos — falls du einem Präparat oder Lebensmittel ein Bild gibst (Abschnitt 2.6)
• Sprachnotizen und eingesprochene Erinnerungen — falls du eine Aufnahme behältst (Abschnitt 2.6)

Medikamente und Notizen über Beschwerden sind die sensibelsten Angaben in dieser Liste. Wer notiert, welches verschriebene Mittel er nimmt und welche Beschwerden er hat, gibt damit Auskunft über seine Gesundheit im Kernbereich.

Diese Einträge verlassen das Gerät nicht — und die Sprachaufnahme, aus der sie entstehen, ebenfalls nicht. Wer ein Medikament oder eine Beschwerde ausspricht, überträgt damit nichts. Wie die Erkennung ohne Übertragung funktioniert, steht im nächsten Abschnitt.

Das sind Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO und damit eine besondere Kategorie personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Sie genießen den höchsten Schutz, den die Verordnung kennt.

Wo sie liegen: ausschließlich in einer SQLite-Datenbank im privaten Speicherbereich der App auf deinem Gerät. Es gibt in der App keinen Programmpfad, der Einträge an einen Server überträgt — weder zu uns noch zu Dritten. Wir haben zu diesen Daten keinen Zugriff, auch nicht auf Anfrage, auch nicht mit einem Gerichtsbeschluss: Wir haben sie schlicht nicht.

Was daraus folgt, und was du wissen musst: Wenn du die App löschst oder das Gerät verlierst, sind die Einträge weg. Es gibt keine Kopie bei uns, aus der wir sie wiederherstellen könnten. Du kannst deine Einträge selbst als Datei exportieren (Einstellungen → Deine Daten). Der Export läuft über das Teilen-Menü deines Geräts; wohin die Datei geht – E-Mail, Cloud-Speicher, Messenger – entscheidest du, und der jeweilige Anbieter verarbeitet sie dann nach seinen Regeln. An uns wird dabei nichts übertragen.

2.2 Die Sprachaufnahme

Damit aus dem, was du sprichst, ein Eintrag wird, muss die Aufnahme in Text umgewandelt werden. Das geschieht auf deinem Telefon. Benutzt wird dafür die Spracherkennung des Betriebssystems — dieselbe, die arbeitet, wenn du auf der Tastatur das Mikrofon antippst. Auf iPhones ist das Apples Speech-Framework, auf Android-Geräten der Erkenner, den das System mitbringt.

Die App verlangt ausdrücklich die Erkennung im Gerät. Sie startet nur, wenn das Betriebssystem bestätigt, dass es deine Sprache ohne Netz erkennen kann. Bestätigt es das nicht, versucht die App es auf Android mit einem eigenen, mitgelieferten deutschen Sprachpaket, das ebenfalls nur auf dem Gerät arbeitet. Gibt es auch das nicht — etwa für eine andere Sprache —, gibt es keine Spracherkennung, und keinen stillen Rückfall auf einen Server. Betroffen davon sind vor allem Android-Geräte vor Version 13.

Auf Android kann es außerdem sein, dass das Betriebssystem für deine Sprache erst ein eigenes Offline-Sprachpaket laden muss. Die App bietet dir dann an, diesen Download beim System anzustoßen. Er läuft über den Erkennungsdienst des Betriebssystems, in der Regel Google — nicht über uns, und die App überträgt dabei nichts.

Was daraus folgt:

1. Die Aufnahme entsteht im Arbeitsspeicher deines Telefons und wird dort zu Text.
2. Sie wird nicht übertragen — nicht an uns, nicht an einen Dritten.
3. Danach wird sie verworfen. Gespeichert wird nur, was du als Eintrag behältst, und das liegt in der Datenbank auf dem Gerät. Die eine Ausnahme entscheidest du selbst: Eine Notiz kannst du als Aufnahme behalten (Abschnitt 2.6).

Dein Wortschatz — die Präparatnamen, die du benutzt — wird der Erkennung als Hilfe mitgegeben, damit aus „Elalanin“ ein „L-Alanin“ wird. Auch er bleibt dabei auf dem Gerät.

Was das Betriebssystem selbst tut, entscheidet sein Hersteller. Wer dein Telefon und sein Betriebssystem herstellt, ist dessen Anbieter und nicht unser Auftragsverarbeiter. Wir bitten ausdrücklich um die Erkennung im Gerät und starten nicht, wenn sie nicht zugesagt wird; welche Diagnosedaten ein Betriebssystem darüber hinaus an seinen Hersteller sendet, richtet sich nach dessen Datenschutzbestimmungen und deinen Systemeinstellungen.

Für die Erkennung selbst heißt das: Apple beziehungsweise Google stellt sie als Funktion des Betriebssystems bereit, in eigener Verantwortung und nach den eigenen Datenschutzhinweisen des Herstellers. Einen Vertrag über Auftragsverarbeitung gibt es dafür nicht, und es braucht auch keinen: Die App fordert die Erkennung im Gerät an und startet sie nur, wenn das System deine Sprache offline installiert hat. Ein Sprachpaket, das dein Gerät beim Hersteller lädt, ist davon zu unterscheiden — es lädt das System, nicht die App, und deine Aufnahme ist daran nicht beteiligt.

2.3 Dein Konto

Das Konto ist nicht dafür da, deine Einträge zu speichern. Es gibt es aus einem Grund: Ein Abo muss auf einem neuen Telefon wiedererkannt werden, und dafür braucht es etwas, das dich wiedererkennt.

Gespeichert wird deshalb genau dies:

Kein Name, kein Geburtsdatum, keine Adresse, keine Einträge.

Bei Konten aus der Testphase steht dort außerdem ein alter Zähler für Aufnahmesekunden ohne Funktion; er wird mit dem Konto gelöscht.

Zur Anmeldung gibt es drei Wege: Google, Apple, oder E-Mail mit einem sechsstelligen Code. Bei Google und Apple erfahren wir von dort nur die E-Mail-Adresse und eine Kennung — nicht dein Adressbuch, nicht dein Profil. Umgekehrt erfährt Google beziehungsweise Apple, dass du dich bei RecTake angemeldet hast; siehe Abschnitt 4.

Musst du das angeben? Ohne E-Mail-Adresse gibt es kein Konto und damit kein Abo, das auf einem neuen Telefon wiedererkannt wird — alles andere in der App geht auch ohne Konto. Gesetzlich verpflichtet bist du zu nichts, und die Warteliste auf der Website ist ebenfalls freiwillig.

2.4 Die Website rectake.de

Die Website misst Besuche mit Google Analytics — aber nur, wenn du zustimmst (Abschnitt 2.4a). Ohne deine Zustimmung setzt sie keine Cookies und lädt nichts von fremden Servern nach.

Beim Abruf fallen serverseitige Zugriffsprotokolle an, wie bei jedem Webserver: IP-Adresse, Zeitpunkt, abgerufene Seite, übermittelter Browsertyp. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Der Hoster hält diese Laufzeitprotokolle in unserem Tarif einen Tag lang vor; danach sind sie weg.

Gehostet wird die Website bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Vercel hat sich gegenüber dem US-Handelsministerium unter dem EU-US Data Privacy Framework zertifiziert (Datenschutzerklärung von Vercel, Stand

1. Juni 2026); sein Verarbeitungsvertrag (Fassung vom 17. März 2026)

enthält zusätzlich die Standardvertragsklauseln der EU-Kommission und ist Bestandteil der Nutzungsbedingungen. Beim Lesen überträgt die Seite keine personenbezogenen Daten an uns. Die eine Ausnahme ist die Warteliste, in die du dich selbst eintragen kannst (Abschnitt 13a) — und sie überträgt nur, was du eintippst, und erst, wenn du abschickst.

Domain, Namensauflösung und E-Mail liegen dagegen bei einem deutschen Anbieter, siehe Abschnitt 4.6. Wer die Adresse rectake.de aufruft, fragt zuerst dort nach, wohin sie zeigt.

2.4a Besuchsmessung mit Google Analytics

Nur die Website, nicht die App. Die App misst weiterhin nichts (Abschnitt 4.7).

Wenn du im Hinweis unten auf der Seite „Ja, zählen“ wählst, lädt die Website Google Analytics 4. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO).

Erfasst werden: welche Seiten du aufrufst und wie lange, von welcher Seite du kommst, ungefährer Ort (Land, Region — aus der IP-Adresse abgeleitet; die IP-Adresse selbst speichert Google Analytics 4 nicht), Gerätetyp, Browser, Betriebssystem, Bildschirmgröße, Sprache, sowie einzelne Handlungen auf der Seite: Scrollen, Klicks auf Links nach außen, und dass du dich in die Warteliste eingetragen hast — ohne deine Adresse. Dazu setzt Google die Cookies _ga und _ga_<Kennung>, die eine zufällige Kennung deines Browsers tragen.

Abgeschaltet sind Google Signals, personalisierte Werbung und jede Verknüpfung mit Google Ads. Wir sehen nur zusammengefasste Zahlen, keine einzelnen Personen.

Zweck: zu verstehen, wie viele Menschen die Seite finden, über welche Wege, und welche Texte gelesen werden.

Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Einwilligung wird Google Analytics gar nicht geladen.

Widerruf: jederzeit über „Einwilligung zur Messung ändern“ in der Fußzeile jeder Seite. Wählst du dort „Nein“, löschen wir die Cookies sofort und es wird nichts mehr gesendet.

Deine Antwort merkt sich dein Browser in seinem lokalen Speicher (rectake-messung). Das ist technisch nötig, damit die Frage nicht auf jeder Seite wiederkommt (§ 25 Abs. 2 Nr. 2 TDDDG), und verlässt dein Gerät nicht.

Speicherdauer: Die Cookies laufen nach höchstens 13 Monaten ab. Die Auswertungsdaten bei Google werden nach 2 Monaten gelöscht.

Drittland: Google kann Daten auch in die USA übermitteln (Google LLC). Google ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die Standardvertragsklauseln aus Googles Auftragsverarbeitungsbedingungen.

2.5 Käufe und Abo

Die Abwicklung läuft über den App Store beziehungsweise Google Play. Wir erfahren von dort, ob ein Kauf gültig ist — keine Zahlungsdaten, keine Kartennummer, keine Rechnungsanschrift. Verantwortlich für die Zahlungsabwicklung sind Apple beziehungsweise Google in eigener Verantwortung; deren Datenschutzhinweise gelten dafür zusätzlich. Die Prüfung, ob ein Kauf gültig ist, übernimmt RevenueCat, siehe Abschnitt 4.5.

2.6 Fotos, Sprachnotizen, Erinnerungen und Meldungen

Vier Dinge, die die App auf deinem Gerät ablegt und die in keiner Tabelle oben stehen, weil sie keine Einträge sind:

• Produktfotos. Du kannst einem Präparat oder Lebensmittel ein Bild geben — aus der Kamera oder aus deiner Galerie. Die App verkleinert es und legt es in ihrem privaten Speicherbereich ab; Ortsangaben und andere Metadaten des Fotos übernimmt sie nicht. Das Bild verlässt das Gerät nicht.
• Sprachnotizen. Eine Notiz kannst du als Originalaufnahme behalten. Die Datei liegt neben der Datenbank auf dem Gerät, bis du sie löschst — einzeln oder zusammen mit allem anderen.
• Eingesprochene Erinnerungen. Eine Erinnerung kannst du mit deiner eigenen Stimme besprechen, ein paar Sekunden lang. Auch diese Aufnahme bleibt auf dem Gerät.
• Meldungen. Erinnerungen und die Rückfrage nach dem Befinden sind Benachrichtigungen, die die App auf deinem Gerät selbst plant. Es gibt keinen Push-Server: Die Meldung entsteht auf dem Gerät und wird vom Betriebssystem dort angezeigt; an uns geht nichts. Auf dem iPhone nennt die Meldung deine Präparate nicht beim Namen.

Alles in diesem Abschnitt löscht Alle Einträge auf diesem Gerät löschen in den Einstellungen mit — und ebenso das Deinstallieren der App.

2.7 Kontaktformular

Auf der Support-Seite kannst du uns schreiben, ohne ein Mailprogramm zu öffnen. Was dabei passiert, Schritt für Schritt:

1. Du tippst deine E-Mail-Adresse, deine Nachricht und, wenn du willst, deinen Namen. Mehr wird nicht erhoben — keine IP-Adresse, kein Cookie, keine Kennung; dazu nur die Sprache der Seite, damit die Antwort in deiner Sprache kommt.
2. Beim Abschicken geht das an eine Funktion auf unserem Server bei Supabase in Frankfurt (Abschnitt 4.1). Sie prüft die Form, speichert nichts und verschickt zwei E-Mails über unseren Mailserver bei Serverprofis (Abschnitt 4.6): deine Nachricht an uns und eine automatische Eingangsbestätigung an dich.
3. Deine Nachricht landet in unserem Postfach bei Serverprofis in Deutschland (Abschnitt 4.6). Dort bleibt sie, bis dein Anliegen erledigt ist (Abschnitt 6).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto oder Abo geht, sonst unser berechtigtes Interesse an der Beantwortung deiner Anfrage, Art. 6 Abs. 1 lit. f DSGVO. Für Anfragen nach der DSGVO selbst — Auskunft, Löschung — Art. 6 Abs. 1 lit. c DSGVO.

Bitte keine Gesundheitsangaben. Wir brauchen sie nie, um ein Anliegen zu lösen, und ein Postfach ist kein Ort für sie.

3. Rechtsgrundlagen

Uns erreicht kein Gesundheitsdatum. Was wir verarbeiten, ist ein Konto und ein Abo-Status. Das ist keine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO.

4. An wen Daten weitergegeben werden

Wir geben keine Daten zum Zweck der Werbung, des Verkaufs oder der Profilbildung weiter — an niemanden. Die folgenden Empfänger sind Auftragsverarbeiter nach Art. 28 DSGVO beziehungsweise eigenständig Verantwortliche, wo das ausdrücklich dabeisteht.

4.1 Supabase — Konto und Anmeldung

Supabase Pte. Ltd.
65 Chulia Street #38-02/03, OCBC Centre
Singapore 049513
Verarbeitungsort der Datenbank: Frankfurt am Main (eu-central-1)

Vertragspartner ist die Gesellschaft in Singapur, nicht die US-amerikanische Supabase, Inc. Diese ist ihrerseits als Unterauftragsverarbeiter für den Support eingebunden.

Was dorthin geht: E-Mail-Adresse, Konto-ID, Abo-Status. Mehr nicht.

Eine Liste, die wir selbst pflegen: Für Testphasen können wir einzelne E-Mail-Adressen vorab freischalten. Sie stehen dann in einer Tabelle neben den Konten, mit einem kurzen Vermerk, wofür. Wer nie auf so einer Liste stand, ist davon nicht betroffen — und wer darauf steht, weiß es, weil er uns die Adresse dafür gegeben hat.

Was dorthin geht, ohne dass wir es steuern: Der Anmeldedienst erfasst von sich aus die IP-Adresse, die Kennung deines Geräts oder Browsers und den Zeitpunkt jeder Anmeldung. Diese Protokolle liegen bei einem Unterauftragsverarbeiter (Google BigQuery); eine Zusage, dass dieser Speicher in der EU liegt, gibt es nicht.

Was nicht dorthin geht: deine Einträge, deine Sprachaufnahmen, dein Wortschatz.

Verarbeitungsvertrag: liegt vor. Er gilt nach den Nutzungsbedingungen automatisch mit dem Vertragsschluss, ohne gesonderte Unterzeichnung (Fassung vom 1. August 2026). Die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914, Modul 2) sind darin einbezogen.

4.2 Der Erkennungsdienst — es gibt keinen

Für Sprachaufnahmen gibt es keinen Auftragsverarbeiter. Die Erkennung leistet das Betriebssystem deines Telefons (Abschnitt 2.2); die Aufnahme verlässt das Gerät nicht.

Warum wir keinen einsetzen. Wir haben bei zwei Anbietern schriftlich angefragt, ob ihr Erkennungsdienst Gesundheitsdaten nach Art. 9 DSGVO tragen darf. Beide Antworten lauteten nein: Die Zertifizierung für das Hosten von Gesundheitsdaten nach französischem Recht (HDS) gilt für Server, Speicher und Netzwerk — nicht für den Erkennungsdienst. Damit gab es zwei Wege: weitersuchen, oder ohne Übertragung bauen. Wir bauen ohne.

Was das heißt: Kein Vertrag, keine Übermittlung, keine Ausnahme für Fehlerfälle, keine offene Frage nach Art. 9 — nicht in Frankreich, nicht anderswo.

4.3 Google — Anmeldung per Google Sign-In

Google Ireland Limited
Gordon House, Barrow Street
Dublin 4, Irland

Nur wenn du diesen Anmeldeweg wählst. Google erfährt dabei, dass du dich bei RecTake anmeldest, und übermittelt uns eine Kennung und deine E-Mail-Adresse. Google verarbeitet die Anmeldung in eigener Verantwortung; dafür gelten Googles eigene Datenschutzhinweise.

Deine Einträge erfährt Google nicht. Sie verlassen das Gerät nicht.

4.4 Apple — Anmeldung per „Mit Apple anmelden“

Apple Distribution International Ltd.
Hollyhill Industrial Estate, Hollyhill
Cork, Irland

Wie bei Google, nur wenn du diesen Weg wählst. Apple bietet dabei an, die E-Mail-Adresse zu verbergen; dann erhalten wir eine Weiterleitungsadresse statt deiner echten. Apple fragt dich beim Anmelden außerdem nach deinem Namen; diesen Wert lesen wir nicht aus und speichern ihn nicht. Auch hier: keine Einträge.

4.5 RevenueCat — Abo-Verwaltung

RevenueCat, Inc.
1032 E Brandon Blvd #3003
Brandon, FL 33511, USA

Wenn du ein Abo abschließt, läuft die Prüfung des Kaufs über diesen Dienst. Er ist die Stelle, die App Store und Google Play gegenüber weiß, ob dein Abo gültig ist.

Was dorthin geht: deine Konto-ID aus RecTake, die Kaufbelege des Stores und technische Angaben deines Geräts, die das eingebaute Modul mitschickt.

Was nicht dorthin geht: deine Einträge, deine Sprachaufnahmen, dein Wortschatz. Und keine Zahlungsdaten — Kartennummer und Rechnungsanschrift sehen weder wir noch dieser Dienst. Die Zahlung wickeln allein Apple und Google ab.

Verarbeitungsort: Vereinigte Staaten. Das ist ein Drittland. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission. Der Verarbeitungsvertrag ist Bestandteil der Nutzungsbedingungen und muss nicht gesondert unterzeichnet werden.

Warum wir deine Konto-ID übermitteln und nicht deine E-Mail-Adresse: Der Dienst muss den Kauf einem Konto zuordnen können. Dafür genügt die Kennung. Die E-Mail-Adresse bleibt bei uns.

Beim Löschen deines Kontos: Der Kundendatensatz bei RevenueCat — deine Konto-ID und die Belege des Stores — wird nicht automatisch mitgelöscht. Wir löschen ihn im Zuge deiner Kontolöschung, spätestens innerhalb von 30 Tagen (Art. 17 DSGVO). Wie das abläuft, steht unter Konto löschen.

4.6 Serverprofis — Domain, Namensauflösung und E-Mail

Serverprofis GmbH
Otto-Lilienthal-Ring 34-36
85622 Feldkirchen
Deutschland

Hier ist die Adresse rectake.de registriert, hier werden die Namensanfragen dazu beantwortet, und hier liegen unsere beiden Postfächer (support@rectake.de und kontakt@rectake.de).

Was dorthin geht: deine E-Mails an uns — also Support-Anfragen und alles, was du nach der DSGVO verlangst, etwa Auskunft oder Löschung. Über denselben Mailserver verschickt unser Kontaktformular seine beiden E-Mails (Abschnitt 2.7). Dazu die technischen Daten jeder Namensanfrage, wenn dein Gerät wissen will, wohin rectake.de zeigt.

Was nicht dorthin geht: deine Einträge, deine Sprachaufnahmen, dein Konto.

Verarbeitungsort: Deutschland. Kein Drittlandtransfer.

Deshalb steht auf der Löschseite und hier: Schreib uns keine Gesundheitsangaben per E-Mail. Wir brauchen sie nie, um ein Anliegen zu lösen, und eine E-Mail liegt nun einmal auf einem Mailserver.

4.7 Sonst niemand

Es gibt keine weiteren Empfänger. Die einzige Ausnahme betrifft die Website: Google Analytics misst dort Besuche, wenn du zustimmst (Abschnitt 2.4a). Für die App gilt:

• kein Analytics-SDK (kein Firebase Analytics, kein Amplitude, nichts Vergleichbares)
• keine Werbe-IDs, kein Tracking, keine Weitergabe an Werbenetzwerke
• keine Absturzberichte mit Inhalten
• keine Weitergabe an Krankenkassen, Versicherungen, Arbeitgeber oder sonstige Dritte — unter keinen Umständen

5. Drittlandtransfer

Die Spracherkennung ist gar keine Übermittlung — sie läuft auf deinem Telefon. Von der Verarbeitung, die uns erreicht, liegt die Datenbank in Frankfurt am Main.

Ein Drittlandbezug besteht trotzdem, an vier Stellen:

1. Konto und Anmeldung (Supabase, Abschnitt 4.1). Der Vertragspartner sitzt in Singapur, sein Support-Dienstleister in den Vereinigten Staaten. Für Singapur gibt es keinen Angemessenheitsbeschluss der EU-Kommission, und Supabase nimmt am EU-US Data Privacy Framework nicht teil. Die Übermittlung stützt sich deshalb auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um die Übermittlungs-Folgenabschätzung des Anbieters vom 14. März 2025.
2. Abo-Prüfung (RevenueCat, Abschnitt 4.5). Verarbeitung in den Vereinigten Staaten auf Grundlage der Standardvertragsklauseln.
3. Website-Hosting (Vercel, Abschnitt 2.4). Verarbeitung in den Vereinigten Staaten; Vercel ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10. Juli 2023), zusätzlich gelten die Standardvertragsklauseln aus seinem Verarbeitungsvertrag.
4. Besuchsmessung (Google Analytics, Abschnitt 2.4a) — nur mit deiner Einwilligung. Google ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln.

Betroffen davon sind deine Kontodaten, die Anmeldeprotokolle, die Konto-ID beim Abo-Dienst und die Zugriffsprotokolle der Website. Nicht betroffen sind deine Einträge und deine Sprachaufnahmen — sie verlassen das Gerät überhaupt nicht. Ebenfalls nicht betroffen sind Domain, Namensauflösung und E-Mail; die liegen in Deutschland (Abschnitt 4.6).

Für die Anmeldewege über Google und Apple gelten die Angaben unter 4.3 und 4.4; beide Unternehmen handeln dabei in eigener Verantwortung.

6. Wie lange gespeichert wird

Steuer- und handelsrechtliche Aufbewahrungspflichten können einzelne Rechnungsdaten länger binden (§ 147 AO, § 257 HGB). Rechnungen stellen die Stores aus, nicht wir; bei uns fallen keine an.

7. Deine Rechte

Du hast nach der DSGVO folgende Rechte gegenüber uns:

• Auskunft (Art. 15) — welche Daten wir über dich haben. Bei uns ist das eine kurze Liste, weil deine Einträge nicht dazugehören.
• Berichtigung (Art. 16)
• Löschung (Art. 17) — siehe Konto löschen
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf der Einwilligung (Art. 7 Abs. 3) — für die Warteliste siehe Abschnitt 13a

Für all das genügt eine formlose Nachricht an support@rectake.de. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Es entstehen dir keine Kosten.

Ein ehrlicher Hinweis zur Auskunft: Deine Einträge können wir dir nicht herausgeben, weil wir sie nicht haben. Sie liegen auf deinem Gerät. Du kannst sie dir aber jederzeit selbst als Datei exportieren (Einstellungen → Deine Daten).

8. Einwilligungen

Zurzeit stützen sich zwei Verarbeitungen auf eine Einwilligung, beide auf der Website: die Warteliste (Abschnitt 13a) und die Besuchsmessung mit Google Analytics (Abschnitt 2.4a). Du kannst beide jederzeit widerrufen — die Messung über den Knopf in der Fußzeile, die Warteliste formlos; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

Für die Spracherkennung brauchen wir keine. Sie läuft auf deinem Gerät, die Aufnahme erreicht uns nicht, und damit gibt es auf unserer Seite nichts, in das einzuwilligen wäre (Abschnitt 2.2). Mikrofon und Spracherkennung gibt nicht die App frei, sondern dein Betriebssystem: Du erteilst und entziehst diese Freigaben in den Einstellungen deines Geräts.

9. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, wenn du meinst, dass wir gegen die DSGVO verstoßen (Art. 77 DSGVO). Zuständig ist die Behörde deines Wohnorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes.

Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Deutschland

https://datenschutz.hessen.de

Zuständig ist diese Behörde, weil der Verantwortliche seinen Sitz in Wiesbaden und damit in Hessen hat.

Eine Liste aller deutschen Aufsichtsbehörden führt die Datenschutzkonferenz.

10. Sicherheit

• Der sicherste Weg ist der, den es nicht gibt. Sprachaufnahmen, Transkripte und Wortschatz werden nirgends übertragen, also auch nirgends abgefangen, gespeichert oder protokolliert.
• Die Verbindung zwischen App und Konto-Schnittstelle ist durchgehend TLS-verschlüsselt.
• Deine Sitzung liegt im Schlüsselbund des Betriebssystems, nicht in einer Datei neben den Einträgen.
• Die Kontodaten sind serverseitig zeilenweise abgeriegelt: Ein angemeldeter Nutzer kann seine eigene Zeile lesen und keine fremde, und schreiben kann er keine.

11. Keine automatisierte Entscheidung, kein Profiling

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Wir bilden keine Profile und leiten aus deinen Daten keine Bewertungen über dich ab.

12. Kinder

Die App richtet sich nicht an Kinder. Für die Nutzung musst du mindestens 16 Jahre alt sein. Diese Grenze entspricht Art. 8 DSGVO für die Einwilligung in Diensten der Informationsgesellschaft in Deutschland und den Altersfreigaben in beiden Stores.

13. Keine medizinische Anwendung

RecTake ist ein Tagebuch, kein Medizinprodukt. Es stellt keine Diagnose und gibt keine Behandlungsempfehlung. Siehe Haftungsausschluss.

13a. Warteliste auf dieser Website

Solange die App noch nicht im Store ist, kannst du auf der Startseite deine E-Mail-Adresse hinterlassen. Sie wird ausschließlich dafür verwendet, dir eine einzige Nachricht zu schicken: die, in der steht, dass es RecTake jetzt gibt. Kein Newsletter, keine Werbung, keine Weitergabe an Dritte.

Was gespeichert wird: deine Adresse, ob du auf iPhone oder Android wartest, der Zeitpunkt, die Sprache der Seite und dass der Eintrag von der Website kam. Kein Cookie, keine Kennung. Eine IP-Adresse speichern wir dazu nicht; der Datenbankanbieter kann den Aufruf in seinen technischen Protokollen mit IP-Adresse festhalten, höchstens sieben Tage (Abschnitt 4.1). Erst wenn du auf „Auf die Liste“ tippst, verlässt etwas deinen Browser — beim bloßen Lesen der Seite wird nichts übertragen.

Wo sie liegt: in derselben Datenbank wie die Konten der App, bei Supabase in Frankfurt. Die Tabelle ist so eingerichtet, dass sie über die Website nur beschrieben und nicht gelesen werden kann.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du in dem Moment erteilst, in dem du die Adresse abschickst. Widerruf: jederzeit formlos an support@rectake.de oder über den Abmeldeweg, den jede Nachricht von uns enthält — wir löschen den Eintrag dann. Austragen ist damit nicht schwerer als Eintragen. Spätestens löschen wir die ganze Liste, sobald die Start-Nachricht verschickt ist.

Bevor die Start-Nachricht geht, fragen wir dich per E-Mail einmal, ob die Adresse wirklich dir gehört. Erst nach deiner Bestätigung schicken wir sie; bleibt die Bestätigung aus, löschen wir den Eintrag. Der Zeitpunkt deines Eintrags und deine Antwort auf die Bestätigungsmail bewahren wir als Nachweis der Einwilligung auf (§ 7 Abs. 2 Nr. 2 UWG).

14. Änderungen dieser Erklärung

Wenn sich die Verarbeitung ändert — etwa weil ein neuer Dienstleister hinzukommt —, ändern wir diesen Text und passen das Datum oben an. Bei wesentlichen Änderungen, die eine Einwilligung erfordern, holen wir sie ausdrücklich ein.

15. Kontakt

Fragen zum Datenschutz, Auskunft, Löschung: support@rectake.de

Impressum: Impressum