Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten Mentup erhebt, warum sie erhoben werden, mit wem sie geteilt werden und welche Rechte Sie haben. Sie erfolgt gemäß Art. 13 und 14 der Verordnung (EU) 2016/679 (« DSGVO ») und dem italienischen Gesetzesdekret 196/2003 in der durch das Gesetzesdekret 101/2018 geänderten Fassung.
Wir haben sie so geschrieben, dass man sie versteht. Wo ein Fachbegriff unvermeidlich ist, erklären wir ihn.
1. Wer der Verantwortliche ist
Mentup Solutions
Via Romana 75 · 42028 Poviglio (RE) · Italia
USt-IdNr. 03156100350
E-Mail: privacy@mentup.eu
PEC: mentup@pec.it
2. An wen sich Mentup richtet
Mentup darf von Personen genutzt werden, die das 16. Lebensjahr vollendet haben.
Wenn Sie 16 oder 17 Jahre alt sind, ist für die Aktivierung Ihres Kontos die Einwilligung eines Elternteils oder der sorgeberechtigten Person erforderlich: ohne diese Einwilligung bleibt das Konto inaktiv und Sie können den Dienst nicht nutzen. Wie das abläuft, ist unter Punkt 6 erklärt.
Nach italienischem Recht wäre eine Einwilligung in die Datenverarbeitung bereits ab 14 Jahren möglich (Art. 8 DSGVO und Art. 2-quinquies des italienischen Datenschutzkodex). Wir haben aus zwei Gründen eine höhere Schwelle gewählt: Mentup verarbeitet Gesundheitsdaten, und ein Abonnement ist ein Vertrag, den eine minderjährige Person nicht allein schließen kann. Die Schwelle von 16 Jahren entspricht derjenigen, die die DSGVO vorsieht, wenn keine abweichende nationale Regelung gilt, und derjenigen, die in Deutschland und in den Niederlanden in Kraft ist. Sieht das Recht Ihres Landes ein höheres Alter vor, so gilt dieses.
3. Welche Daten wir erheben
3.1 Daten, die Sie uns bei der Kontoerstellung geben
Vorname, Nachname, E-Mail-Adresse, Passwort (das wir ausschließlich verschlüsselt speichern und das niemand von uns lesen kann), Geburtsdatum, Geschlecht, Telefonnummer, bevorzugte Sprache, Land und — wenn Sie eines hochladen möchten — ein Profilbild.
Das Geburtsdatum brauchen wir aus einem bestimmten Grund: um festzustellen, ob Sie minderjährig sind, und um das Verfahren zur elterlichen Einwilligung einzuleiten.
3.2 Daten zu Ihrem Wohlbefinden — der heikelste Teil
Bei der Nutzung von Mentup erfassen Sie:
- die täglichen Handlungen, die Sie auswählen und abschließen, in den vier Bereichen (Familie, Beziehungen, persönliches Wachstum, Gesundheit);
- die Tagebucheinträge;
- die Angstentladungen und Wutentladungen mit den zugehörigen Werten;
- die tägliche Zufriedenheitsbewertung mit den Notizen und Fotos, die Sie beifügen möchten;
- die gemeinnützige Organisation, die Sie als Empfängerin der durch Ihre Handlungen ausgelösten Spenden auswählen.
Das sind Daten zu Ihrer Gesundheit, und sie fallen unter die « besonderen Kategorien personenbezogener Daten » des Art. 9 DSGVO. Es sind die am stärksten geschützten Daten, die die Verordnung kennt, und wir verarbeiten sie ausschließlich auf der Grundlage Ihrer ausdrücklichen Einwilligung, die Sie jederzeit widerrufen können (Punkt 5).
3.3 Daten des Elternteils oder Vormunds (nur für minderjährige Nutzerinnen und Nutzer)
Vorname, Nachname und E-Mail-Adresse des Elternteils oder Vormunds, erhoben allein zu dem Zweck, die Einwilligung einzuholen, entgegenzunehmen und deren Nachweis aufzubewahren.
3.4 Technische Daten
IP-Adresse, Browser- oder Gerätetyp (User Agent) sowie Datum und Uhrzeit, zu der Sie jede Einwilligung erteilt oder widerrufen haben. Wir bewahren sie auf, um erforderlichenfalls nachweisen zu können, dass eine Einwilligung tatsächlich eingeholt wurde: dazu verpflichtet uns die DSGVO (Art. 7.1).
3.5 Zahlungsdaten
Mentup sieht und speichert Ihre Kartendaten nicht. Das Abonnement wird über den Apple App Store, Google Play oder — auf der Website — über Stripe erworben. Vom Anbieter erhalten wir nur die Information, die nötig ist, um Ihr Abonnement aktiv zu halten: ob es aktiv ist, wann es abläuft, ob es verlängert oder gekündigt wurde, und eine Transaktionskennung.
3.6 Was wir NICHT erheben — und das ist keine Formsache
Zum Zeitpunkt dieser Datenschutzerklärung gilt für Mentup:
- keine Analysewerkzeuge (kein Google Analytics, kein Firebase Analytics);
- keine Werbe-Pixel und keine Attributions-SDKs;
- keine Nachverfolgung Ihrer Aktivität in anderen Apps oder auf anderen Websites und keine Abfrage der IDFA unter iOS;
- keine Werkzeuge zur Absturzberichterstattung;
- kein Profiling der Nutzerinnen und Nutzer und keine automatisierten Entscheidungen, die Sie betreffen;
- kein Verkauf, keine Weitergabe und keine Vermietung Ihrer Daten, an niemanden;
- keine Nutzung Ihrer emotionalen Daten zu Werbezwecken, weder für uns noch für andere — und das wird auch so bleiben: auf besondere Datenkategorien gestützte personalisierte Werbung ist nach Art. 26(3) des Gesetzes über digitale Dienste (DSA) absolut untersagt, auch bei vorliegender Einwilligung.
Sollte sich einer dieser Punkte künftig ändern, wird diese Datenschutzerklärung vorher aktualisiert, bevor die Änderung wirksam wird, und wo vorgesehen wird eine neue Einwilligung eingeholt.
4. Warum wir Ihre Daten verarbeiten und auf welcher Rechtsgrundlage
| Zweck | Verwendete Daten | Rechtsgrundlage |
|---|---|---|
| Ihr Konto anlegen und verwalten, Ihnen die Anmeldung ermöglichen | 3.1 | Vertragserfüllung — Art. 6.1.b |
| Ihnen die Wohlbefindens-Funktionen ermöglichen (Handlungen, Tagebuch, Angst, Wut, Zufriedenheit, Statistiken) | 3.2 | Ausdrückliche Einwilligung — Art. 9.2.a |
| Ihr Alter prüfen und die elterliche Einwilligung einholen, wenn Sie minderjährig sind | 3.1, 3.3 | Rechtliche Verpflichtung — Art. 6.1.c und Art. 8 |
| Abonnement, Verlängerungen, Belege und Support verwalten | 3.1, 3.5 | Vertragserfüllung — Art. 6.1.b |
| Ihre Daten der von Ihnen benannten Gesundheitsfachkraft anzeigen | 3.2 | Ausdrückliche und spezifische Einwilligung — Art. 9.2.a |
| Aggregierte und anonyme Statistiken für Ihr Unternehmen oder Ihre Schule erstellen | 3.2 in aggregierter Form | Ausdrückliche Einwilligung — Art. 9.2.a |
| Den Nachweis der Einwilligungen erfassen und aufbewahren | 3.4 | Rechtliche Verpflichtung — Art. 6.1.c |
| Ihnen Servicemitteilungen senden (E-Mail-Bestätigung, Sicherheitshinweise, Abo-Fristen) | 3.1 | Vertragserfüllung — Art. 6.1.b |
| Ihnen Werbemitteilungen zu Mentup senden | Einwilligung — Art. 6.1.a, mit einem Klick in jeder Nachricht widerrufbar | |
| Die Sicherheit des Dienstes gewährleisten und Missbrauch verhindern | 3.4 | Berechtigtes Interesse — Art. 6.1.f |
| Rechtsansprüche geltend machen oder verteidigen | je nach Fall | Berechtigtes Interesse / Art. 9.2.f |
Servicemitteilungen sind keine Werbung und lassen sich nicht abschalten, solange Sie ein aktives Konto haben: ohne sie könnten wir Ihnen nicht mitteilen, dass Ihr Abonnement demnächst abgebucht wird oder dass jemand das Zurücksetzen Ihres Passworts beantragt hat.
5. Die Einwilligung in die Wohlbefindensdaten und ihr Widerruf
Die Einwilligung in die Daten nach Art. 9 ist ausdrücklich, gesondert und spezifisch: sie ist nicht in der Annahme der Nutzungsbedingungen versteckt, nicht vorangekreuzt, und sie betrifft jeweils einen Zweck.
Sie können sie jederzeit widerrufen, in den Einstellungen der App, ohne Begründung und ohne dass Ihnen daraus Kosten entstehen. Der Widerruf:
- wirkt sofort für die Zukunft;
- macht die bis dahin erfolgte Verarbeitung nicht rechtswidrig;
- beendet sofort die Weitergabe an die Fachkraft, das Unternehmen oder die Schule, sofern Sie diese erlaubt hatten.
Ehrlich gesagt: die Wohlbefindensdaten sind der Dienst. Wenn Sie diese Einwilligung widerrufen, funktionieren Tagebuch, Statistiken und Verlaufsbeobachtung nicht mehr, und das Konto beschränkt sich auf die Grundfunktionen.
6. Wenn Sie 16 oder 17 Jahre alt sind
- Bei der Registrierung fragen wir nach der E-Mail-Adresse eines Elternteils oder der sorgeberechtigten Person.
- Ihr Konto wird angelegt, bleibt aber inaktiv: Sie können sich nicht anmelden und es werden keine Wohlbefindensdaten erhoben.
- Dem Elternteil senden wir eine Nachricht mit der Einwilligungsanfrage und dem Link zu dieser Datenschutzerklärung.
- Erst wenn der Elternteil bestätigt, wird das Konto aktiviert.
- Trifft die Einwilligung nicht innerhalb von 30 Tagen ein, verfällt die Anfrage und die bis dahin erhobenen Daten werden gelöscht.
Der Elternteil kann die Einwilligung jederzeit widerrufen, indem er an die unter Punkt 1 genannte Adresse schreibt; das Konto wird dann deaktiviert und die Daten werden gelöscht.
Wir machen keine Werbung gegenüber Minderjährigen und erstellen zu keinem Zweck Profile minderjähriger Nutzerinnen und Nutzer.
7. Mit wem wir Ihre Daten teilen
Standardmäßig teilen wir nichts. Jede der nachstehenden Weitergaben erfolgt nur, wenn Sie sie selbst aktivieren, und sie ist widerruflich.
7.1 Mit Ihrer Fachkraft (Psychologin, Ärztin, Coach)
Wenn Sie Ihr Konto mit einer Fachkraft verknüpfen, kann diese Ihre täglichen Zufriedenheitsbewertungen und deren Verlauf sehen, Ihre Angst- und Wutentladungen — Datum, Intensität und auch den von Ihnen geschriebenen Text — und einen Hinweis erhalten, wenn Sie die App nicht mehr nutzen.
- Das Tagebuch bleibt Ihres: die Fachkraft sieht es nicht.
- Erforderlich ist eine ausdrückliche und spezifische Einwilligung, getrennt von allen anderen.
- Jeder Zugriff der Fachkraft auf Ihre Daten wird protokolliert, mit Datum, Uhrzeit, IP-Adresse und Zugriffsart.
- Sie können die Weitergabe jederzeit beenden, mit sofortiger Wirkung.
- Mentup zeigt der Fachkraft die Daten: es deutet sie nicht, vergibt keine klinischen Werte und schlägt nicht vor, wann einzugreifen ist.
7.2 Mit Ihrem Unternehmen
Ihr Unternehmen sieht Ihre individuellen Daten nie. Nie. Das ist kein Versprechen: so ist das System gebaut.
Das Unternehmen erhält ausschließlich den Durchschnitt der Zufriedenheit aller seiner Beschäftigten und dessen Verlauf. Keine Daten pro Person, pro Abteilung oder pro Gruppe, die kleiner ist als das gesamte Unternehmen. Der Durchschnitt wird nur berechnet, wenn mindestens 3 Beschäftigte angemeldet sind: bei weniger Personen wäre ein « aggregierter » Wert trotzdem auf jemanden zurückführbar. Aus demselben Grund kann ein Unternehmen Mentup nur mit mindestens 3 Beschäftigten aktivieren. Sie können außerdem beantragen, auch aus dem Durchschnitt herausgenommen zu werden.
Mentup und Ihr Unternehmen sind gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO, auf der Grundlage einer schriftlichen Vereinbarung, von der Sie unter der in Punkt 1 genannten Adresse eine Kopie anfordern können.
7.3 Mit Ihrer Schule
Es gilt dieselbe Regel: die Schule erhält nur aggregierte und anonyme Daten — die durchschnittliche Zufriedenheit und die Zahl der erfassten Entladungen — pro Klasse und für die gesamte Schule, nie pro einzelner Schülerin oder Schüler. Ein Klassenwert wird nur angezeigt, wenn in dieser Klasse mindestens 3 Schülerinnen und Schüler angemeldet sind. Die Teilnahme ist freiwillig und wirkt sich in keiner Weise auf die schulische Bewertung aus. Für minderjährige Schülerinnen und Schüler gilt das Verfahren nach Punkt 6.
7.4 Mit unseren Dienstleistern
Siehe Punkt 8. Sie handeln als Auftragsverarbeiter und sind vertraglich nach Art. 28 DSGVO gebunden.
7.5 Mit Behörden
Nur soweit und in dem Umfang, wie das Gesetz es vorschreibt.
7.6 Gemeinnützige Organisationen
Die Organisationen, die die Spenden erhalten, bekommen die Spende, nicht Ihre Daten. Sie wissen nicht, wer Sie sind.
8. Die Dienstleister, die wir einsetzen
| Dienstleister | Wofür | Wo | Rolle |
|---|---|---|---|
| Netsons S.r.l. | Server der Anwendung und der Datenbank | EU (Italien) | Auftragsverarbeiter nach Art. 28 |
| Netsons S.r.l. | Versand der Service-E-Mails (SMTP) | EU (Italien) | Auftragsverarbeiter nach Art. 28 |
| Apple — App Store | Kauf und Verlängerung des Abonnements unter iOS | — | Eigenständig Verantwortlicher für die Zahlung |
| Google — Google Play | Kauf und Verlängerung des Abonnements unter Android | — | Eigenständig Verantwortlicher für die Zahlung |
| Stripe | Über die Website getätigte Zahlungen | EU / USA | Auftragsverarbeiter nach Art. 28 |
| RevenueCat | Prüfung, ob ein in den Stores gekauftes Abonnement aktiv ist | USA | Auftragsverarbeiter nach Art. 28 |
Ihre Wohlbefindensdaten geben wir niemals an Dienstleister weiter. Sie erhalten nur, was ihre Funktion erfordert: eine Nutzerkennung und den Status des Abonnements.
9. Cookies und auf Ihrem Gerät gespeicherte Daten
9.1 Auf unseren Websites
Die Einzelheiten zu den Cookies — Name, Zweck, Dauer und wer sie jeweils setzt — stehen in der Cookie-Richtlinie. Derzeit verwenden wir ein einziges, technisches Cookie. Sollten wir künftig nicht technische Cookies einführen, würden diese erst nach Ihrer Einwilligung gesetzt, die Sie jederzeit ändern oder widerrufen könnten.
9.2 In der App
In der Mentup-App gibt es keine Cookies. Cookies sind eine Technologie des Webs, und von Cookies in einer nativen App zu sprechen ist technisch falsch. Die App speichert allerdings einige Informationen auf Ihrem Gerät:
| Information | Wofür | Wo |
|---|---|---|
| Authentifizierungs-Token, Nutzerkennung | Sie angemeldet halten, ohne bei jedem Start nach dem Passwort zu fragen | Verschlüsselter Speicher des Betriebssystems |
| Sprache der Oberfläche, Land | Ihnen die App in der richtigen Sprache und die gemeinnützigen Organisationen Ihres Landes anzeigen | Lokaler Speicher der App |
| Anzeigeeinstellungen | Sich merken, was Sie bereits geschlossen oder ausgeblendet haben | Lokaler Speicher der App |
All das bleibt auf Ihrem Telefon. Es wird gelöscht, wenn Sie die App deinstallieren oder sich vom Konto abmelden.
10. Wie lange wir die Daten aufbewahren
| Daten | Aufbewahrung |
|---|---|
| Konto- und Profildaten | Für die gesamte Dauer des Kontos. Gelöscht innerhalb von 30 Tagen nach dem Löschantrag |
| Wohlbefindensdaten (Tagebuch, Entladungen, Bewertungen, Fotos) | Wie oben: gelöscht zusammen mit dem Konto |
| Daten des Verhältnisses zu einer Gesundheitsfachkraft | Dauer des Verhältnisses und 10 Jahre ab dessen Ende, im Einklang mit den Pflichten im Gesundheitsbereich |
| Protokoll der Zugriffe der Fachkraft | 10 Jahre |
| Nachweis der Einwilligungen (Datum, Uhrzeit, IP, Fassung des Dokuments) | 10 Jahre ab Widerruf oder Beendigung |
| Daten im Rahmen eines betrieblichen Gesundheitsprogramms | Dauer des Programms; anonymisiert innerhalb von 90 Tagen nach dessen Ende, vorbehaltlich gesetzlicher Pflichten |
| Steuer- und Buchhaltungsdaten der Abonnements | 10 Jahre, aufgrund gesetzlicher Pflicht |
| Aggregierte und anonyme statistische Daten | Ohne Frist: sie lassen keinen Rückschluss auf eine Person mehr zu |
11. Ihre Rechte und wie Sie sie ausüben
Sie können jederzeit:
- auf Ihre Daten zugreifen und eine Kopie davon erhalten (Art. 15);
- sie berichtigen lassen, wenn sie falsch oder unvollständig sind (Art. 16);
- sie löschen lassen (Art. 17);
- die Verarbeitung einschränken lassen (Art. 18);
- sie in einem maschinenlesbaren Format mitnehmen (Art. 20) — in der App finden Sie die Funktion « Meine Daten herunterladen »;
- der auf berechtigtem Interesse beruhenden Verarbeitung widersprechen (Art. 21);
- eine Einwilligung jederzeit widerrufen (Art. 7.3).
So geht es. In den Einstellungen der App finden Sie Export und Kontolöschung. Sie können auch an die unter Punkt 1 genannte Adresse schreiben; außerdem gibt es auf der Website eine öffentliche Seite, über die Sie die Löschung des Kontos ohne Anmeldung beantragen können: mentup.eu/cancella-account.
Wir antworten innerhalb eines Monats. Ist die Anfrage komplex, können wir zwei weitere Monate in Anspruch nehmen und teilen Ihnen das mit.
Wenn Sie der Ansicht sind, dass Ihre Daten nicht ordnungsgemäß verarbeitet werden, können Sie Beschwerde beim Garante per la protezione dei dati personali, der italienischen Datenschutzbehörde, einlegen (Piazza Venezia 11, 00187 Rom — garante@gpdp.it — www.garanteprivacy.it) oder bei der Behörde des Landes, in dem Sie wohnen, und den Rechtsweg beschreiten.
12. Wie wir die Daten schützen
Verschlüsselte Übertragung (HTTPS/TLS); Passwörter ausschließlich als Hash und nie im Klartext gespeichert; Zugangs-Token im verschlüsselten Speicher des Geräts; Zugriff auf die Daten beschränkt auf die Personen, die ihn tatsächlich brauchen; jeder Zugriff einer Fachkraft protokolliert und aufbewahrt; regelmäßige Sicherungen.
Kein System ist absolut sicher. Sollte es zu einer Verletzung kommen, die ein hohes Risiko für Ihre Rechte mit sich bringt, teilen wir Ihnen das mit und benachrichtigen die Aufsichtsbehörde innerhalb der gesetzlichen Fristen (Art. 33 und 34 DSGVO).
13. Wo sich die Daten befinden
Die Daten werden auf Servern in der Europäischen Union gespeichert.
Einige der unter Punkt 8 genannten Dienstleister (Apple, Google, Stripe, RevenueCat) können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten. In diesen Fällen erfolgt die Übermittlung auf der Grundlage der in Kapitel V der DSGVO vorgesehenen Garantien: Angemessenheitsbeschluss oder von der Europäischen Kommission genehmigte Standardvertragsklauseln.
Die Wohlbefindensdaten verlassen die Europäische Union nicht.
14. Änderungen dieser Datenschutzerklärung
Wenn wir sie ändern, veröffentlichen wir die neue Fassung auf dieser Seite mit neuem Datum und neuer Versionsnummer. Ist die Änderung wesentlich — neue Zwecke, neue Empfänger, neue Messwerkzeuge —, teilen wir Ihnen das mit, bevor sie wirksam wird, und holen, wo nötig, eine neue Einwilligung ein.
Frühere Fassungen bleiben auf Anfrage verfügbar.
Diese Datenschutzerklärung ist in italienischer Sprache abgefasst. Bei Abweichungen zwischen der italienischen Fassung und einer Übersetzung ist die italienische Fassung maßgeblich.