Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Mentum
Baumeister-Bühler Straße 3
50859 Köln
E-Mail: datenschutz@mentum-app.de

2. Welche Daten werden erhoben?

• Kontodaten: Name, E-Mail-Adresse, Passwort (gehasht), Zeitstempel deiner Einwilligungen
• Alter: In der Testphase nur volljährige Athleten über den Verein (Pilotvereinbarung) – kein Geburtsdatum
• Profildaten: Sportart(en), sportartspezifische Angaben, mentale Ziele, Coach-Präferenzen
• Log-Einträge: MPS-Metriken, Freitext-Reflexionen, sportartspezifische Bewertungen
• Team-Anfragen: Kontaktdaten und Nachricht bei öffentlicher Team-Anfrage (Landing)
• Technische Daten: IP-Adresse, Gerätetyp, Session – für Betrieb und Sicherheit

3. Zweck der Verarbeitung

• Bereitstellung der Mentum-App (Account, Mental-Log, Team-Funktionen)
• Optional: KI-gestützte Analysen und Coach-Chat (nur mit gesonderter Einwilligung)
• Kalender, Routinen, Export, Berichte
• Fehlerüberwachung (ohne personenbezogene Inhalte in Logs)

Wir verkaufen keine Daten. Kein Werbe-Tracking.

4. Rechtsgrundlage

Vertrag und Einwilligung: Art. 6 Abs. 1 lit. b und lit. a DSGVO. Mentale Gesundheitsdaten (Art. 9 DSGVO) nur mit ausdrücklicher Einwilligung bei Registrierung. KI-Verarbeitung durch OpenAI (USA) ist davon getrennt und erfordert ein zusätzliches Opt-in (Onboarding oder Einstellungen).

5. KI-Verarbeitung und Auftragsverarbeiter

5.1 KI-Auftragsverarbeiter (optional)

Bei aktivierter KI-Einwilligung nutzen wir OpenAI, Inc. (USA) als Auftragsverarbeiter. Übermittelt werden nur pseudonymisierte, minimierte Kontexte – keine Klarnamen, keine E-Mail. Widerruf jederzeit unter Einstellungen → Datenschutz; danach keine neuen KI-Anfragen.

Drittland USA: Auftragsverarbeitungsvertrag und Standardvertragsklauseln. Konkrete Aufbewahrungszusagen des Anbieters sind vertraglich zu prüfen – wir behaupten keine ungeprüfte „Zero Data Retention".

5.2 Weitere Dienstleister (Pilot)

• Supabase: Datenbank und Authentifizierung (Region eu-west-1, Irland/EU)
• IONOS SE (Rechenzentrum: Deutschland, EU): App-Hosting und Backups (Server in der EU/DE)
• Sentry: Fehlerüberwachung, konfiguriert ohne personenbezogene Nutzerdaten in Events
• SMTP/E-Mail: Transaktions-E-Mails (Verifizierung, Team-Anfragen)
• Stripe: Zahlungsabwicklung nur bei Web-Pro-Abos; in der nativen Test-App deaktiviert

5a. Team-Datenfreigabe (Coach-Portal)

Teambeitritt ist von der Einwilligung für anonyme Team-Aggregate getrennt. Ohne Opt-in bist du im Team-Roster, deine Metriken fließen aber nicht in Aggregate.

• Journal/Reflexionstexte: dem Trainer niemals sichtbar
• Persönlicher MPS: bleibt beim Athleten – Trainer sehen den Score nicht
• Einzel-Logs: nur auf Anfrage + deine Zustimmung pro Anfrage (Werte der Einheit, kein MPS)
• Aggregierte Kennzahlen: erst ab drei aktiven Loggern mit Einwilligung (k-Anonymität)
• Widerruf: jederzeit im Team-Bereich oder durch Team-Austritt

5b. Sportpsychologie-Portal (Pilot)

Im Pilot kann je Team eine Sportpsycholog:in über ein eigenes Portal begleiten. Die Freigabe ist vom Trainer-Portal getrennt.

• Journal/Reflexionstexte: der Fachperson niemals sichtbar
• Persönlicher MPS: bleibt beim Athleten
• Team-Aggregate: nur nach separater Einwilligung (unabhängig vom Trainer-Opt-in)
• Einzel-Logs: nur auf Anfrage der Fachperson + deine Zustimmung pro Anfrage
• Widerruf/Pause: jederzeit im Team-Bereich oder durch Entzug der Einwilligung

5c. Minderjährige (16–17, NLZ-Pilot – Welle 2)

Die Teilnahme von 16–17-Jährigen im NLZ-/Ausbildungskontext ist eine gesonderte Pilotwelle. Sie setzt voraus:

• Bestätigung der Teilnahmeberechtigung durch den Verein
• Nachweisbare Zustimmung der Sorgeberechtigten
• Deine eigene ausdrückliche Einwilligung in der App (Art. 9 DSGVO)
• Getrennte Einwilligungen für Trainer-Aggregate, Sportpsychologie-Aggregate, Einzel-Freigaben und KI

KI-Verarbeitung für diese Welle ist standardmäßig deaktiviert und wird erst nach externer rechtlicher Freigabe freigeschaltet. Ohne vollständigen Nachweis bleibt der Zugang gesperrt.

6. Cookies und Einwilligungen

Technisch notwendiger Session-Cookie für Login (Art. 6 Abs. 1 lit. f DSGVO). Optionale Kategorien: KI-Analysen (Art. 9), Analytics (derzeit standardmäßig aus). Verwaltung unter Einstellungen → Einwilligungen.

7. Speicherdauer, Backups und Löschung

• Account-Daten: bis zur Account-Löschung durch dich
• Mental-Logs: automatische Löschung nach 24 Monaten (täglicher Cleanup-Job)
• Chat-Verläufe: automatische Löschung nach 12 Monaten (täglicher Cleanup-Job)
• Server-Backups: 90 Tage rollierend (IONOS/Docker); gelöschte Accounts können in Backups bis zum Auslauf technisch noch enthalten sein – danach überschrieben
• KI-Audit-Metadaten: pseudonymisiert; bei Account-Löschung bereinigt

Export und vollständige Löschung: Profil → Meine Daten.

8. Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerruf (Art. 7 Abs. 3), Beschwerde bei einer Aufsichtsbehörde.

Kontakt: datenschutz@mentum-app.de