Datenschutzerklärung

Stand: 12. Juni 2026

Movoa verarbeitet sensible Gesundheitsdaten — entsprechend ernst nehmen wir den Schutz deiner Daten. Hier erfährst du, was wir verarbeiten, warum, und welche Rechte du hast.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf movoa.fit und in der Movoa-App ist die Movoa GmbH, [TODO: vollständige Anschrift], E-Mail: hallo@movoa.fit.

Anwalts-Hinweis (Entwurf)Prüfen: Pflicht zur Benennung einer/eines Datenschutzbeauftragten (Art. 37 DSGVO) — die Kerntätigkeit umfasst die umfangreiche Verarbeitung besonderer Datenkategorien (Gesundheitsdaten). Falls ja: Kontaktdaten hier ergänzen.

2. Unsere Grundsätze

Wir setzen keine Analyse-, Tracking- oder Werbe-Tools ein — weder auf der Website noch in der App.
Wir verwenden ausschließlich technisch erforderliche Cookies (Anmelde-Sitzung, § 25 Abs. 2 Nr. 2 TDDDG). Deshalb zeigen wir kein Cookie-Banner.
Schriften werden von unseren eigenen Servern geladen — beim Besuch der Website wird keine Verbindung zu Google-Servern aufgebaut.
Die Schwangerschaftswoche wird nie gespeichert, sondern stets aus dem errechneten Geburtstermin abgeleitet (Datensparsamkeit).

3. Website und Checkout

3.1 Hosting (Vercel)

Die Website wird bei Vercel Inc. (USA) gehostet. Beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, abgerufene Seite) zur Auslieferung und Absicherung der Website (Art. 6 Abs. 1 lit. f DSGVO).

Anwalts-Hinweis (Entwurf)Prüfen: Vercel-DPA abgeschlossen? Datenregion/Edge-Standorte und Drittlandübermittlung (EU-US Data Privacy Framework bzw. Standardvertragsklauseln) hier konkret benennen.

3.2 Konto und Anmeldung (Supabase)

Für Konto, Anmeldung (Magic-Link per E-Mail) und Datenspeicherung nutzen wir Supabase als Auftragsverarbeiter. Verarbeitet werden deine E-Mail-Adresse und Anmelde-Metadaten (Art. 6 Abs. 1 lit. b DSGVO). Die Anmelde-Sitzung wird über ein technisch notwendiges Cookie aufrechterhalten.

Anwalts-Hinweis (Entwurf)Prüfen und hier ergänzen: Supabase-Projekt-Region (EU?) und Stand des Auftragsverarbeitungsvertrags — offener Punkt aus der internen Datenschutz-Inventur.

3.3 Preisermittlung mit Gesundheitsdaten (Art. 9 DSGVO)

Für den Kauf eines Pregnancy Pass fragen wir deinen errechneten Geburtstermin ab. Diese Angabe ist ein Gesundheitsdatum im Sinne von Art. 9 DSGVO (sie offenbart deine Schwangerschaft). Wir verarbeiten sie ausschließlich, um die Schwangerschaftswoche zu berechnen, den passenden Tarif zu bestimmen und die Pass-Laufzeit festzulegen. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du durch die aktive Eingabe im Bestellvorgang erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst.

Anwalts-Hinweis (Entwurf)Einwilligungsmechanik prüfen: Genügt die aktive Eingabe als „ausdrückliche Einwilligung" nach Art. 9 Abs. 2 lit. a, oder ist eine separate Checkbox/Erklärung im Checkout- und App-Onboarding-Flow erforderlich? Ggf. Folge-Arbeitspaket. Zusätzlicher interner Prüfpunkt: Der Geburtstermin wird derzeit als Metadatum der Stripe-Checkout-Session übertragen — Datensparsamkeit dieser Übertragung bewerten.

3.4 Zahlung (Stripe als Merchant of Record)

Käufe werden über Stripe als Händler (Merchant of Record) abgewickelt. Stripe verarbeitet deine Zahlungsdaten (z. B. Kartendaten, Rechnungsland und Postleitzahl für die Umsatzsteuer) als eigenständig Verantwortlicher. Es gilt die Datenschutzerklärung von Stripe (stripe.com/de/privacy). Wir erhalten von Stripe keine vollständigen Zahlungsdaten, sondern nur Bestätigungen über den Kaufstatus.

4. Datenverarbeitung in der App

Die App verarbeitet — jeweils auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) bzw. zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO):

Onboarding-Angaben: errechneter Geburtstermin, Aktivitätslevel, Beschwerden und gesundheitliche Ausschlusskriterien — zur sicheren, trimestergerechten Trainingsauswahl.
Täglicher Check-in: Symptome und Befinden — zur Tagesempfehlung und zur Warnzeichen-Erkennung. Bei Warnzeichen wird der Trainingszugang blockiert; diese Sicherheitsereignisse werden protokolliert.
Trainingsdaten: absolvierte Einheiten und Verlauf.
Push-Benachrichtigungen: Wenn du sie erlaubst, speichern wir deinen Geräte-Push-Token, um dich z. B. an das Ende deines Testzeitraums zu erinnern (Versand über den Expo-Push-Dienst).
Lokale Speicherung: Sensible Zwischenstände werden auf deinem Gerät verschlüsselt abgelegt (iOS Keychain / Android EncryptedSharedPreferences). Beachte: Geräte-Backups (iCloud/Google) können lokale App-Daten enthalten und unterliegen den Bedingungen deines Backup-Anbieters.

Anwalts-Hinweis (Entwurf)Fehlerdiagnose (Sentry): aktuell nicht aktiviert. Vor einer Aktivierung in Produktion: Auftragsverarbeitungsvertrag abschließen, EU-Region wählen und diesen Abschnitt ergänzen (inkl. Einwilligungs-/Opt-in-Mechanik wegen Art.-9-Restrisiko).

5. Empfänger im Überblick

Supabase — Datenbank, Konto, Anmeldung (Auftragsverarbeiter; [TODO: Region + AVV-Status, siehe 3.2])
Stripe — Zahlungsabwicklung als Merchant of Record (eigenständig Verantwortlicher)
Vercel — Hosting der Website (Auftragsverarbeiter)
Expo — App-Builds und Push-Versand (Auftragsverarbeiter; keine Laufzeit-Telemetrie)

6. Speicherdauer und Löschung

Deine Daten speichern wir grundsätzlich, bis du dein Konto löschst. Die Kontolöschung steht dir direkt in der App zur Verfügung und entfernt dein Konto mit allen verknüpften Daten (Profil, Schwangerschaftsdaten, Check-ins, Trainingsverlauf). Gesetzliche Aufbewahrungspflichten (z. B. für Zahlungsbelege) bleiben unberührt.

Anwalts-Hinweis (Entwurf)Offene Punkte aus der internen Inventur hier nach Klärung präzisieren: (a) Aufbewahrungsfrist der Sicherheitsereignis-Protokolle (Audit-Zweck vs. Datensparsamkeit), (b) Aufbewahrung der Kauf-Spiegeldaten nach Kontolöschung (handels-/steuerrechtliche Fristen).

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Wende dich dazu an hallo@movoa.fit. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

8. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Datenverarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Stand-Datum findest du oben.