Datenschutzhinweis / Privacy notice

1. Verantwortlicher und Zweck

Persönliche Gesundheitsdokumentation mit quellenbelegtem Wissen. Kein Medizinprodukt, keine Diagnose, keine Therapie- oder Dosierungsempfehlung. Die Anwendung ersetzt keine ärztliche Beratung.

Der geschlossene Pilot dient der Dokumentation eigener Daten, ihrer verständlichen Zusammenfassung und dem Zugang zu quellenbelegtem Studienwissen.

Deine Daten liegen auf unserem eigenen Server in Deutschland. Die Datenbank wird verschlüsselt gesichert.

2. Datenkategorien

Wir verarbeiten Kontodaten, Einwilligungsnachweise und freiwillig bereitgestellte Gesundheitsdaten: Dokumente und Laborwerte, Gesundheitsprofil, Medikamente und Supplemente einschließlich ihrer Änderungshistorie, GLP-1-Protokoll, Befinden und Gewicht sowie Wearable-Daten.

Nach deiner Freigabe liest Longevity Sync ausgewählte Apple-Health-Daten. Aktivität, Schlaf und weitere Messgrößen werden lokal zu Tageswerten verdichtet. Gewicht wird mit Messzeitpunkt und Herkunft abgeglichen: beim ersten geeigneten Abgleich bis zu 90 Tage, danach bis zu 30 Tage. Apple-Berechtigungen kannst du in iOS entziehen.

Medikamenten-Packungsfotos werden nur vorübergehend verarbeitet und anschließend gelöscht. Bei Supplement-Erfassungen bleiben die Fotos zur Verarbeitung bis zur Bestätigung oder zum Abbruch, höchstens sieben Tage, gespeichert. Bestätigte Angaben bleiben als Gesundheitsdokumentation erhalten.

Nutzungs- und Sicherheitsdaten umfassen Fragen und Antworten, technische Ereignisse sowie Modell-, Token- und Kostendaten. Gesundheitsdaten werden weder verkauft noch für Werbung oder Werbeprofile verwendet.

3. Einwilligung und persönliche KI

Gesundheitsdaten verarbeiten wir auf Grundlage deiner ausdrücklichen Einwilligung. Persönliche KI-Antworten in Ask, Gesundheitsbericht und Health-Chat erfordern die aktuelle, ausdrücklich bestätigte Version der Gesundheits-Einwilligung. Wir speichern die Version, Prüfsumme des angezeigten Textes, Sprache und Zeitpunkt. Eine frühere Zustimmung wird nicht automatisch erneuert.

Du kannst die Einwilligung in den Einstellungen mit Wirkung für die Zukunft widerrufen. Dann wird kein neuer gespeicherter Gesundheitskontext an diese KI-Funktionen übermittelt. Bereits übermittelte Daten können nicht zurückgeholt werden. Bestehende Daten bleiben lesbar; neue Schreibzugriffe auf Gesundheitsdaten werden nach einem Widerruf gesperrt.

Ohne aktuelle KI-Einwilligung kann Ask allgemeine Wissensfragen beantworten. Deine aktuelle Frage wird dabei an den KI-Dienstleister übermittelt, jedoch ohne automatisch beigefügte Gesundheitsdaten und ohne vorherige Chat-Inhalte. Gib keine Daten ein, die du nicht teilen möchtest.

Standard ist die neue, beschreibende Berichtsversion. Eine experimentelle ältere Berichtsfunktion für interne Nutzung ist nur nach zusätzlicher administrativer Freischaltung verfügbar und entsprechend gekennzeichnet; die aktuelle Gesundheits-Einwilligung und Datenminimierung gelten auch dort.

4. KI-Dienstleister und Übermittlung

Für KI-Funktionen wie die Auswertung hochgeladener Dokumente und Packungsfotos, Gesundheitsberichte und Antworten auf Fragen übermitteln wir die jeweils erforderlichen Daten, auch Gesundheitsdaten, an einen spezialisierten KI-Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO). Er nutzt die Daten nicht, um seine generativen KI-Modelle zu trainieren oder seine Produkte zu verbessern.

Zur Erkennung von Missbrauch kann er Anfragen und Antworten befristet speichern (derzeit bis zu 55 Tage) und in Verdachtsfällen durch berechtigte Personen prüfen lassen. Die Anbieterbedingungen sehen dabei eine gesonderte Nutzung für Modelle zur Richtliniendurchsetzung vor. Eine Verarbeitung außerhalb der EU/des EWR ist möglich; sie erfolgt nur mit geeigneten Garantien nach Art. 44 ff. DSGVO. Den aktuell eingesetzten Dienstleister und den dokumentierten Stand nennt unsere Liste der Auftragsverarbeiter.

Wir geben nur für die Frage erforderlichen gespeicherten Gesundheitskontext weiter. Ein ausdrücklich angeforderter Gesamtbericht kann Laborwerte und Verläufe, passende Referenzbereiche, relevante Profilmerkmale und eine Wearable-Zusammenfassung der letzten 30 Tage verwenden. Medikamente, GLP-1- und Journaleinträge werden diesem Bericht nicht automatisch beigefügt.

5. Aufbewahrung und Löschung

Neue gespeicherte Dokumentoriginale werden standardmäßig nach 30 Tagen zur Löschung fällig. Du kannst eine angebotene andere Aufbewahrungsdauer wählen. Bestehende Dokumente behalten ihre bisherige Einstellung. Nicht aufbewahrte Originale werden unmittelbar nach der Verarbeitung entfernt. Ausgelesene Daten bleiben bis zur gesonderten Dokument- oder Kontolöschung gespeichert.

Ein täglicher begrenzter Wartungslauf entfernt fällige Originale und führt fällige Kontolöschungen aus. Bei Fehlern oder größerem Rückstand kann die Abarbeitung weitere Läufe benötigen. Kontolöschung deaktiviert das Konto sofort und sieht eine Frist von 30 Tagen bis zur anschließenden Löschung beziehungsweise Anonymisierung vor.

Sicherheits-Auditereignisse werden standardmäßig nach 365 Tagen zur Löschung fällig. Diese Frist gilt nicht pauschal für deine fachliche Änderungshistorie, Nachweise unveränderlicher Vorgänge oder technische Kostenbelege. Deine persönliche Änderungshistorie bleibt bis zur zugehörigen Löschung erhalten.

Verschlüsselte Sicherungen von Datenbank und verwalteten Dateien unterliegen einer eigenen Aufbewahrungsfrist, standardmäßig 30 Tage. Eine Löschung im laufenden System entfernt nicht sofort jede Sicherungskopie. Sicherungen sind auf Wiederherstellungszwecke beschränkt; bei Wiederherstellung müssen Lösch- und Sperrentscheidungen erneut berücksichtigt werden.

6. Beta-Anträge, Sicherheit und Rechte

Bei einem Beta-Antrag speichern wir E-Mail, optionalen Namen, Berufsfeld, Nutzungszweck, verfügbare Datenkategorien und Begründung zur manuellen Auswahl. Im Freitext sind keine Gesundheitsdetails nötig. IP-Adresse und User-Agent dienen der Sicherheit. Abgelehnte beziehungsweise abgeschlossene Anträge löscht der Betreiber manuell spätestens zum Ende der Beta; Einladungen und Sicherungen sind getrennte Datensätze.

Aktivierte Beta-Bedingungen haben einen eigenen Versionsnachweis; sie ersetzen keine Gesundheits-Einwilligung. Die Daten werden benutzer- und mandantenbezogen getrennt. Die iPhone-Verbindung nutzt HTTPS und bewahrt Sitzungstoken im iOS-Schlüsselbund auf.

Du hast nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie Beschwerde bei einer Datenschutzaufsichtsbehörde. Persönliche Exporte enthalten auch Supplemente und relevante Änderungshistorien. Datenschutzanfragen kannst du an den unten genannten Verantwortlichen richten. Ein Datenschutzbeauftragter ist derzeit nicht benannt.

1. Controller and purpose

Personal health documentation with source-backed knowledge. Not a medical device; no diagnosis, treatment or dosage recommendations. The application does not replace medical advice.

This closed pilot supports documentation of your own data, understandable summaries and access to source-backed study knowledge.

Your data is held on our own server in Germany. The database is backed up with encryption.

2. Data categories

We process account data, consent evidence and health data you choose to provide: documents and lab values, health profile, medications and supplements with their change history, the GLP-1 journal, wellbeing and weight, and wearable data.

After your permission, Longevity Sync reads selected Apple Health data. Activity, sleep and other metrics are aggregated locally into daily values. Weight is synchronised with its measurement time and provenance: up to 90 days on the first eligible sync, then up to 30 days. You can revoke Apple permissions in iOS.

Medication package photos are processed temporarily and then deleted. Supplement capture photos are retained for processing until confirmation or cancellation, for at most seven days. Confirmed information remains in your health documentation.

Usage and security data includes questions and answers, technical events and model, token and cost data. Health data is never sold or used for advertising or advertising profiles.

3. Consent and personal AI

Health data is processed with your explicit consent. Personal AI answers in Ask, health reports and health chat require explicit confirmation of the current health-consent version. We record the version, checksum of the displayed text, language and time. Earlier consent is never automatically renewed.

You can withdraw consent in Settings for future processing. These AI functions will then receive no new stored health context. Previously sent data cannot be recalled. Existing records remain readable; new health-data writes are blocked after withdrawal.

Without current AI consent, Ask can answer general knowledge questions. Your current question is sent to the AI service provider, without automatically attached health data or previous chat content. Do not enter data you do not want to share.

The new descriptive report version is the default. An experimental older report for internal use is available only with an additional administrative grant and is labelled accordingly; current health consent and data minimisation also apply to it.

4. AI processors and transfers

For AI features such as analysis of uploaded documents and package photos, health reports and answers, we send the necessary data, including health data, to a specialist AI processor under Article 28 GDPR. It does not use that data to train its generative AI models or improve its products.

For abuse detection, requests and responses may be retained temporarily, currently for up to 55 days, and reviewed by authorised people when misuse is suspected. Provider terms separately permit use for policy-enforcement models. Processing outside the EU/EEA is possible and is subject to appropriate safeguards under Articles 44 et seq. GDPR. Our processor list identifies the current provider and documented status.

We only attach stored health context relevant to the question. An explicitly requested overall report may use lab values and trends, associated reference ranges, relevant profile characteristics and a wearable summary for the last 30 days. Medication, GLP-1 and journal entries are not automatically attached to that report.

5. Retention and deletion

New retained document originals become due for deletion after 30 days by default. You can select another offered retention period. Existing documents keep their previous settings. Originals you choose not to retain are removed immediately after processing. Extracted data remains until separate document or account deletion.

A bounded daily maintenance run removes due originals and executes due account purges. Errors or a larger backlog may require subsequent runs. Requesting account deletion deactivates the account immediately; a 30-day period precedes deletion or anonymisation.

Security audit events become due for deletion after 365 days by default. This does not apply indiscriminately to your health change history, immutable operation evidence or technical cost records. Your personal change history remains until the related deletion.

Encrypted database and managed-file backups have a separate retention period, 30 days by default. Deleting live data does not immediately remove every backup copy. Backups are restricted to recovery; deletion and blocking decisions must be reapplied during recovery.

6. Beta applications, security and rights

Beta applications store email, optional name, professional field, intended use, available data categories and reasons for manual selection. Do not provide health details in free text. IP address and user agent support security. The operator manually deletes rejected or completed applications no later than the end of the beta; invitations and backups are separate records.

Activated beta terms have separate version evidence and do not replace health consent. Data is scoped to users and tenants. The iPhone connection uses HTTPS and stores session tokens in the iOS Keychain.

Subject to GDPR requirements you have rights of access, correction, erasure, restriction, portability, objection and complaint to a supervisory authority. Personal exports include supplements and relevant change history. Contact the controller listed below for privacy requests. No data-protection officer is currently appointed.