Datenschutzerklärung für das PMS-Tagebuch
Stand: Oktober 2026
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Zusammenhang mit dem PMS-Tagebuch ist:
Endo Health GmbH
Theaterstraße 56
09111 Chemnitz
Vertreten durch: Dr. med. Nadine Rohloff
Telefon: +49 (371) 335 603 00
E-Mail: info@isi-app.de
2. Datenschutzbeauftragter
Unseren Datenschutzbeauftragten erreichst du unter:
Markus Rothenhöfer
E-Mail: datenschutz@isi-app.de
3. Kein Bestandteil einer DiGA
Das PMS-Tagebuch ist ein reines Selbstbeobachtungs-Tool und von anderen Produkten der Endo Health GmbH unabhängig. Es dient dazu, dir bereits vor einer möglichen DiGA-Nutzung einen ersten Überblick über deine Symptome zu ermöglichen. Deine hier erfassten Daten werden nicht automatisch mit einem anderen Nutzerkonto zusammengeführt oder dorthin übertragen.
4. Welche Daten wir verarbeiten
- Kontodaten: E-Mail-Adresse, Passwort (verschlüsselt gespeichert), optional ein per E-Mail versandter Einmal-Code bei aktivierter Zwei-Faktor-Authentifizierung.
- Gesundheitsdaten (besondere Kategorie personenbezogener Daten gemäß Art. 9 DSGVO): tägliche Angaben zu Blutungsstärke und -art sowie zu ausgewählten körperlichen und psychischen Symptomen und deren Intensität über einen Zeitraum von bis zu 120 Tagen bzw. bis zu drei Zyklen, sowie daraus erstellte Zusammenfassungen und PDF-Berichte.
- Technische Daten: beim Aufruf der Anwendung automatisch verarbeitete Angaben (z. B. IP-Adresse, Datum und Uhrzeit des Zugriffs, verwendeter Browser) zur Gewährleistung eines sicheren und funktionsfähigen Betriebs.
5. Zwecke und Rechtsgrundlagen der Verarbeitung
- Bereitstellung des Nutzerkontos und der Kernfunktionen der Anwendung (Symptomerfassung, Kalenderansicht, PDF-Export): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
- Verarbeitung der Gesundheitsdaten (Symptom- und Zyklusangaben): Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Die Verarbeitung erfolgt ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung, die du bei der Registrierung erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst, etwa durch Löschung deines Kontos. Ein Widerruf hat zur Folge, dass die Kernfunktion der Anwendung nicht mehr genutzt werden kann.
- Newsletter (nur wenn du ihn bei der Registrierung ausdrücklich bestellst): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Details unter Ziffer 14.
- Cookies und Tracking auf den öffentlichen Seiten (nur mit deiner Zustimmung im Cookie-Banner): § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO, Details unter Ziffer 15.
- Zwei-Faktor-Authentifizierung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Absicherung des Nutzerkontos).
- Gewährleistung der IT-Sicherheit und Fehleranalyse (technische Zugriffsdaten): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb).
6. Speicherdauer
Konto- und Symptomdaten werden gespeichert, solange dein Nutzerkonto besteht. Dein Konto und alle zugehörigen Daten werden automatisch und endgültig gelöscht, wenn 12 Monate lang keine Anmeldung erfolgt ist. Unabhängig davon kannst du dein Konto jederzeit selbst sofort und endgültig löschen. Technische Zugriffsdaten (Server-Logs bei unserem Hosting-Anbieter Vercel) werden automatisiert nach 24 Stunden gelöscht. Deine Newsletter-Daten speichern wir, bis du den Newsletter abbestellst oder dein Konto löschst; danach entfernen wir dich spätestens am Folgetag auch aus der Versandliste.
7. Empfänger und Auftragsverarbeitung
Deine Konto- und Gesundheitsdaten werden in Rechenzentren in Frankfurt am Main (Deutschland) verarbeitet und gespeichert. Dafür setzen wir folgende Dienstleister als Auftragsverarbeiter ein:
- Vercel Inc. (USA) — Hosting und Ausführung der Anwendung, inkl. technischer Zugriffsdaten/Server-Logs (Serverstandort: Frankfurt am Main)
- Neon Inc. (USA) — Datenbank (Serverstandort: Frankfurt am Main, AWS-Region eu-central-1)
- Amazon Web Services EMEA SARL — Versand von System-E-Mails (Bestätigungs- und Anmeldecodes, Hinweis-E-Mails; Region eu-central-1, Frankfurt am Main)
- Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich — Versand des Newsletters, nur wenn du ihn bestellt hast (Ziffer 14). An Brevo geht nur deine E-Mail-Adresse mit dem Nachweis deiner Einwilligung, nie deine Tagebuch-Einträge.
Mit diesen Dienstleistern bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Das PMS-Tagebuch nutzt eine eigenständige, von anderen Produkten der Endo Health GmbH getrennte Infrastruktur. Deine Tagebuch-Einträge und Gesundheitsdaten geben wir nicht an Dritte weiter, es sei denn, wir sind gesetzlich dazu verpflichtet. Für Cookies und Tracking auf den öffentlichen Seiten siehe Ziffer 15.
8. Übermittlung in Drittländer
Deine Daten werden in Rechenzentren innerhalb der EU (Frankfurt am Main) gespeichert und verarbeitet. Da es sich bei Vercel und Neon um Unternehmen mit Sitz in den USA handelt, kann ein Zugriff aus einem Drittland nicht vollständig ausgeschlossen werden (z. B. im Rahmen von Support oder Wartung). Die Verarbeitung ist über Auftragsverarbeitungsverträge einschließlich der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie über die Zertifizierung beider Anbieter nach dem EU-US Data Privacy Framework abgesichert.
9. PDF-Export
Der von dir erzeugte PDF-Bericht enthält deine erfassten Symptomangaben und dient deiner eigenen Übersicht. Du kannst den Export freiwillig mit einem selbst gewählten Passwort schützen; ein vergessenes Export-Passwort kann nicht zurückgesetzt werden. Für die Weitergabe des PDFs an Dritte sowie für die Wahl eines sicheren Übertragungswegs für ein gesetztes Passwort bist du selbst verantwortlich.
10. Deine Rechte
Dir stehen nach der DSGVO folgende Rechte zu:
- Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung deiner Daten (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21 DSGVO)
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Zur Ausübung dieser Rechte wende dich an die in Ziffer 1 oder 2 genannten Kontaktdaten.
11. Beschwerderecht
Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist:
Die Sächsische Datenschutz- und Transparenzbeauftragte
Postfach 11 01 32
01330 Dresden
Telefon: +49 351 85471-101
E-Mail: post@sdtb.sachsen.de
Website: https://www.datenschutz.sachsen.de/
12. Datensicherheit
Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen, unter anderem Verschlüsselung bei der Übertragung und die optionale Zwei-Faktor-Authentifizierung für dein Konto.
13. Freiwilligkeit der Angaben
Die Nutzung des PMS-Tagebuchs und die Angabe deiner Symptomdaten sind freiwillig. Ohne Anlage eines Kontos kannst du die Anwendung jedoch nicht nutzen.
14. Newsletter
Wenn du bei der Registrierung ausdrücklich einwilligst, schicken wir dir per E-Mail verständlich aufbereitetes Wissen rund um PMS und PMDS sowie Neuigkeiten zum PMS-Tagebuch. Absender ist die Endo Health GmbH. Deine Einwilligung bestätigst du mit dem Code, den wir dir per E-Mail schicken (Double-Opt-in). Als Nachweis speichern wir den Zeitpunkt deiner Einwilligung, den genauen Einwilligungstext samt Version und den Zeitpunkt der Bestätigung.
Für den Versand nutzen wir Brevo (Ziffer 7). Brevo erhält deine E-Mail-Adresse und diesen Nachweis, nie deine Tagebuch-Einträge. Brevo kann messen, ob ein Newsletter geöffnet und Links darin angeklickt wurden, damit wir den Versand verbessern können.
Du kannst den Newsletter jederzeit abbestellen: über den Link in jeder E-Mail, in den Einstellungen deines Tagebuchs oder per E-Mail an datenschutz@isi-app.de. Löschst du dein Konto, entfernen wir dich auch aus der Versandliste.
15. Cookies und Tracking auf den öffentlichen Seiten
Auf den öffentlichen Seiten (Startseite, Wissensseiten, FAQ, Rechtstexte, Registrierung und Anmeldung) nutzen wir nur mit deiner Zustimmung im Cookie-Banner den Google Tag Manager der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Darüber können Dienste zur Reichweitenmessung und zur Erfolgsmessung von Werbung geladen werden, etwa von Google oder der Meta Platforms Ireland Ltd. Dabei können diese Anbieter erfahren, dass du dich für das PMS-Tagebuch interessierst. Hast du zugestimmt, melden wir ihnen außerdem, dass du dein Konto per Code bestätigt hast (Erfolgsmessung unserer Anzeigen). An Meta geht diese Meldung auch direkt von unserem Server (Conversions API), zusammen mit deiner E-Mail-Adresse in verschlüsselter (gehashter) Form, deiner IP-Adresse und Browserkennung, damit Meta sie einer Anzeige zuordnen kann; nie mit Tagebuch-Inhalten. Im eingeloggten Tagebuch, bei der E-Mail-Bestätigung und beim Zurücksetzen des Passworts wird nichts davon geladen; deine Tagebuch-Einträge gehen nie an diese Anbieter.
Ohne Zustimmung setzen diese Dienste keine Cookies. Triffst du im Banner eine Entscheidung, auch eine Ablehnung, lädt der Tag Manager; bei Ablehnung kann Google lediglich cookielose, zusammengefasste Signale erhalten (Google Consent Mode). Eine Übermittlung in die USA ist möglich; Google und Meta sind nach dem EU-US Data Privacy Framework zertifiziert. Deine Wahl wird nur in deinem Browser gespeichert. Du kannst sie jederzeit über „Cookie-Einstellungen“ am Seitenende ändern oder widerrufen.
16. Änderung dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, sobald Änderungen der Datenverarbeitung oder der Rechtslage dies erforderlich machen. Es gilt jeweils die zum Zeitpunkt deines Besuchs aktuelle Fassung.