Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf everly-digital.de und in der Everly-App ist:

Everly-Labs UG (haftungsbeschränkt)
Bücklestr. 84b, 78467 Konstanz
Geschäftsführer: Frank Crivellari
E-Mail: labs@everly-digital.de

2. Hosting und Server-Protokolle

Die Website und die App werden bei Vercel Inc. (USA) betrieben. Die Server-Funktionen laufen in einem Rechenzentrum in Dublin (Irland); ausgelieferte Seiten werden über Vercels weltweites Netz zwischengespeichert. Beim Aufruf jeder Seite verarbeitet der Server technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung), um die Seite auszuliefern und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Für Übermittlungen in die USA stützen wir uns auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln.

3. Konto und gespeicherte Inhalte

Für ein Konto speichern wir Ihre E-Mail-Adresse und ein verschlüsseltes Passwort. Alles, was Sie in Everly eintragen oder hochladen – Profile, Vorsorgedokumente, Scans, Notfallkontakte – speichern wir, um Ihnen den Dienst bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO).

Datenbank und Dateispeicher betreibt Supabase in einem Rechenzentrum in der EU (Irland). Die Übertragung ist verschlüsselt (TLS). Hochgeladene Dokumente sind nicht öffentlich; Links zum Abruf sind nur wenige Minuten gültig.

Wenn Sie Ihre erste Notfallkarte ohne Konto beginnen, bleiben die Angaben bis zur Registrierung nur in Ihrem Browser. Mit der Registrierung speichern wir sie an Ihrem neuen Konto, bis Sie Ihre E-Mail-Adresse bestätigen, und legen dann die Karte an. Nicht bestätigte Entwürfe löschen wir nach spätestens 7 Tagen.

4. Gesundheitsdaten (Art. 9 DSGVO)

Notfallkarte (einschließlich der nicht öffentlichen weiteren Angaben für Ärzte), Patientenverfügung, Organspende und Kinder-Notfallplan enthalten Gesundheitsdaten, etwa Allergien, Medikamente, Erkrankungen oder Blutgruppe. Diese verarbeiten wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie mit dem Eintragen und Speichern erteilen. Für Gesundheitsangaben, die auf der Notfallseite sichtbar werden – beim Erstellen der ersten Notfallkarte und beim späteren Eintragen auf der Notfallkarte –, holen wir diese Einwilligung gesondert per Häkchen ein, bevor wir die Angabe speichern, und bewahren Wortlaut und Zeitpunkt als Nachweis auf.

Sie können die Einwilligung jederzeit widerrufen, indem Sie die Angaben löschen oder uns schreiben. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

5. Familienmitglieder und Kinder

Unter „Deine Familie“ können Sie Personen anlegen – Partner, Eltern, Kinder. Für diese Angaben sind Sie als Kontoinhaber mitverantwortlich: Bitte tragen Sie Daten Dritter nur ein, wenn die Person einverstanden ist oder Sie – etwa als sorgeberechtigter Elternteil – für sie handeln dürfen.

Für Kinder unter 18 Jahren erteilen die Sorgeberechtigten die Einwilligung. Auf der öffentlichen Notfallseite eines Kindes erscheinen nie Name, Geburtsdatum, Adresse oder Foto – nur die freigegebenen Hinweise und Anruf-Knöpfe. Volljährige Familienmitglieder können verlangen, dass ihre Daten aus Ihrem Konto gelöst oder gelöscht werden.

6. Notfallkarte, Notfall-Link und QR-Code

Jede Person kann einen Notfall-Link erhalten (everly-digital.de/n/…), den der QR-Code der Notfallkarte enthält. Der Link ist zufällig erzeugt und nicht erratbar. Wer ihn aufruft, sieht bei Erwachsenen den Namen, medizinische Hinweise, den Namen des Hausarztes sowie Anruf-Knöpfe zum Notfallkontakt und zum Arzt – keine Adresse. Dokumente sind nur über die Notfall-Freigabe erreichbar (Abschnitt 7). Telefonnummern stehen nie im Seitentext; der Anruf wird erst beim Antippen weitergeleitet.

Bei jedem Aufruf protokollieren wir Zeitpunkt, Art des Aufrufs und einen verschlüsselten, nicht umkehrbaren Kurzwert der IP-Adresse (HMAC) – keine IP-Adresse im Klartext. Damit begrenzen wir das Durchprobieren von Links und erkennen Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Wird der Notfall-Link eines Familienmitglieds geöffnet, benachrichtigen wir den Kontoinhaber per E-Mail (höchstens alle 15 Minuten). Vorschaudienste von Messengern erhalten eine neutrale Seite ohne Daten.

Sie können einen Notfall-Link jederzeit sperren oder neu ausstellen; der alte Link zeigt danach keine Daten mehr.

7. Notfall-Freigabe von Dokumenten

Geschützte Dokumente (z. B. Patientenverfügung, Vollmacht, Testament) sind über den Notfall-Link nur mit einem Freigabe-Code erreichbar. Welche Dokumente dafür in Frage kommen, legen Sie auf der Notfallkarte je Person und Dokument fest. Fordert jemand die Freigabe an, senden wir den Code an die hinterlegte Vertrauensperson – bei Kindern an die Eltern – per E-Mail und gegebenenfalls SMS.

Dabei speichern wir die Anforderung mit Zeitpunkt und IP-Adresse sowie jede Code-Eingabe mit einem verschlüsselten Kurzwert der IP-Adresse. Das dient dem Schutz vor Missbrauch und dem Nachweis, wer wann eine Freigabe angefordert hat (Art. 6 Abs. 1 lit. f DSGVO).

8. E-Mail und SMS

Für E-Mails (Bestätigungen, Benachrichtigungen, Freigabe-Codes) nutzen wir Resend (Plus Five Five, Inc., USA), für SMS Twilio Inc. (USA). Übermittelt werden Empfängeradresse bzw. Telefonnummer und der Nachrichtentext. Grundlage für die Übermittlung in die USA sind das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Impf-Erinnerungen: Haben Sie im Impfpass ein „gültig bis“-Datum oder einen eigenen Termin eingetragen, erinnern wir Sie per E-Mail an Ihre Konto-Adresse, solange die Erinnerung nicht abgeschaltet ist. Die E-Mail nennt nur Vorname und Datum bzw. den von Ihnen gewählten Titel – keinen Impfstoff. Wir erinnern nur an Daten, die Sie selbst eingetragen haben. Erinnerungen lassen sich im Impfpass jederzeit abschalten oder löschen.

9. EVE – digitale Assistentin

EVE beantwortet Fragen mithilfe eines KI-Sprachmodells von Mistral AI (Paris, Frankreich). Ihre Eingaben werden vor der Übermittlung um erkennbare personenbezogene Angaben (z. B. Telefonnummern, E-Mail-Adressen) bereinigt. Für die Spracheingabe nutzen wir Gladia (Paris, Frankreich), das Ihre Aufnahme in Text umwandelt.

Die Nutzung von EVE ist freiwillig. Rechtsgrundlage ist die Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO).

10. Zahlungen

Zahlungen wickelt Stripe Payments Europe, Ltd. (Dublin, Irland) ab. Zahlungsdaten gibt Stripe nicht an uns weiter; wir erhalten nur die Bestätigung und den gebuchten Tarif (Art. 6 Abs. 1 lit. b DSGVO).

11. Reichweitenmessung und Marketing

Auf unserer Startseite zählen wir Aufrufe und Klicks mit einer zufälligen Sitzungskennung und der Browser-Kennung, ohne IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO).

Im Einstieg „Notfallkarte erstellen“ zählen wir außerdem, welche Schritte erreicht werden, um ihn verständlicher zu machen. Dafür nutzen wir eine zufällige Kennung, die nur im Arbeitsspeicher des geöffneten Browser-Tabs liegt – ohne Cookies, ohne IP-Adresse und ohne Bezug zu Ihrem Konto (Art. 6 Abs. 1 lit. f DSGVO).

Nach Ihrer ersten Notfallkarte und auf der Seite Ihrer Notfallkarte zeigen wir als Werbung gekennzeichnete Links zu Zubehör (Partnerlinks): einfache Links ohne eingebettete Skripte oder Zählpixel, bei denen wir nur die Klicks mit derselben zufälligen Kennung ohne Cookies und ohne IP-Adresse zählen; erst wenn Sie einen Link öffnen, gelangen Sie auf die Seite des Anbieters, für die dessen Datenschutzerklärung gilt (Art. 6 Abs. 1 lit. f DSGVO).

Als Amazon-Partner verdient Everly-Digital an qualifizierten Verkäufen.

Nur wenn Sie im Einwilligungsbanner „Alle zulassen“ wählen, laden wir den Google Tag Manager (Google Ireland Ltd.) mit dem Meta-Pixel und melden eine abgeschlossene Registrierung in verschlüsselter (gehashter) Form an Meta Platforms Ireland Ltd., um die Wirkung unserer Werbung zu messen (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG). Ohne Einwilligung wird nichts davon geladen oder gesendet. Ihre Wahl speichern wir nur in Ihrem Browser.

Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ am Ende jeder Seite ändern oder widerrufen. Auf den öffentlichen Notfallseiten findet keinerlei Analyse statt.

12. Speicherdauer

Konto, Profile und Dokumente speichern wir, bis Sie sie löschen oder Ihr Konto schließen. Protokolle von Notfall-Link-Aufrufen, Notfallkarten-Scans, Freigabe-Anforderungen und Code-Eingaben löschen wir automatisch nach 90 Tagen. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungen) bleiben unberührt.

13. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, Einwilligungen jederzeit zu widerrufen. Schreiben Sie uns dazu an labs@everly-digital.de.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

14. Kontakt

Bei Fragen zum Datenschutz erreichen Sie uns unter:

Everly-Labs UG (haftungsbeschränkt)
Frank Crivellari
labs@everly-digital.de