Mental Ease

Datenschutzerklärung

Wir nehmen den Schutz deiner persönlichen Daten ernst. Diese Erklärung informiert dich darüber, welche Daten wir in der App „Mental Ease" verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage - und welche Rechte du hast.

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher im Sinne der DSGVO:

OrganAIze Me GmbH
Sandra Dokter
Stolberger Straße 321a
50933 Köln, Deutschland

E-Mail: office@organaize.me

Unser Datenschutzbeauftragter

heyData GmbH
Schützenstraße 5, 10117 Berlin
Website: www.heydata.eu
E-Mail: datenschutz@heydata.eu

2. Über die App

Mental Ease ist eine native mobile App für iOS und Android, die Familien - insbesondere Mütter - bei der Organisation des Familienalltags entlastet: Aufgaben, Termine und Erinnerungen, Einkaufslisten, Essensplanung sowie KI-gestützte Vorschläge (z. B. Rezepte und Aktivitäten).

Die App ist ein Organisations-Werkzeug für den Alltag. Sie ist kein Medizinprodukt und bietet keine medizinische, therapeutische oder ernährungswissenschaftliche Beratung.

3. Welche Daten wir verarbeiten

3.1 Konto-Daten

E-Mail-Adresse, gehashtes Passwort, Vorname, verwendeter Anmelde-Anbieter, Authentifizierungs-Tokens. Bei Anmeldung über Google oder Apple zusätzlich die von dort übermittelten Basisdaten (E-Mail, Name, ggf. Profilbild).

3.2 Familien-Daten

Namen der Familienmitglieder, Geburtsdatum bzw. Alter von Kindern, Rolle im Haushalt, Farbzuordnung. Diese Daten gibst du als Kontoinhaberin bzw. Kontoinhaber ein (siehe Ziffer 9).

3.3 Gesundheitsbezogene Daten (Art. 9 DSGVO)

Freiwillig: Allergien, Unverträglichkeiten und Ernährungsformen der Familienmitglieder - auch von Kindern. Diese gelten nach der DSGVO als besondere Kategorie personenbezogener Daten. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Die Eingabe ist freiwillig; die App ist auch ohne diese Angaben nutzbar - die KI-Vorschläge fallen dann generischer aus. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), indem du die Angaben in der App löschst.

3.4 Organisations- und Nutzungsdaten

To-dos, Erinnerungen, Termine, Einkaufslisten, Essenspläne, Aktivitäten, Rezepte, Favoriten, gespeicherte Familien-Präferenzen sowie ein Zähler für KI-Anfragen (Nutzungsgrenze pro Haushalt).

3.5 Freitext-Eingaben („Brain Dump")

Frei eingegebene oder eingesprochene Texte. Diese können beliebige persönliche Angaben enthalten, die du selbst formulierst. Den Freitext selbst speichern wir nicht. Er wird verarbeitet, um daraus Aufgaben, Termine, Einkaufs- und Merkeinträge zu machen - gespeichert werden nur diese Einträge, die du in der App siehst und jederzeit selbst löschen kannst.

3.6 Sprachdaten

Wenn du die Sprachfunktion nutzt, wird die Audio-Aufnahme zur Transkription an Mistral (Voxtral, EU) gesendet. Wir speichern das Audio nicht - wir erhalten ausschließlich den transkribierten Text. Näheres siehe Ziffer 6.

3.7 Standortdaten

Nur mit deiner Einwilligung: ungefähre Standortkoordinaten, um Wetter- und Aktivitätsvorschläge passend zu machen.

3.8 Geräte- und Benachrichtigungsdaten

Push-Token und Gerätekennung, um dir Erinnerungen als Push-Benachrichtigung zustellen zu können (siehe Ziffer 8).

3.9 Kalenderdaten

Optional synchronisierte Termine aus deinem Google-Kalender (siehe Ziffer 7) sowie Termine aus dem Gerätekalender, wenn du dies erlaubst.

3.10 Nutzungs-/Telemetriedaten, Feedback und technische Logs

Anonymisierte Ereignisse zur Produktverbesserung (z. B. „App geöffnet", „Rezept angenommen") in unserer eigenen Datenbank. Es wird keine externe Analytics-Plattform eingesetzt (kein Google Analytics, keine Werbe-Tracker). Feedback-Texte, die du in der App sendest, speichern wir zur Auswertung, bis du dein Konto löschst. Technische Fehler- und KI-Nutzungs-Logs unterliegen einer kurzen, routinemäßigen Log-Rotation. Löschst du dein Konto, ersetzen wir die Kennung dieser Ereignisse durch eine Zufallskennung, zu der es keine Zuordnung gibt: Die Zahlen bleiben, der Bezug zu dir nicht.

4. Rechtsgrundlagen

Datenkategorie	Rechtsgrundlage
Konto-, Organisations-, Text- und Sprachdaten (Kernfunktion)	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Allergien, Unverträglichkeiten, Ernährungsformen	Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung)
Kinder und Familienmitglieder ohne eigenes Konto	Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 1626 BGB / Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO)
Familienmitglieder mit eigenem Konto	Art. 6 Abs. 1 lit. a DSGVO (eigene Einwilligung beim Annehmen der Einladung)
Standort, Sprachaufnahme, Kalender-Verbindung, Anmeldung über Google/Apple	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Push-Benachrichtigungen	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Systemabfrage)
Technische Logs, IT-Sicherheit, interne Produkt-Telemetrie	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

5. Empfänger der Daten (Auftragsverarbeiter, Art. 28 DSGVO)

Anbieter	Sitz / Serverstandort	Zweck	Übermittelte Daten
Supabase Pte. Ltd (betrieben auf AWS)	Singapur / Server EU (Frankfurt)	Datenbank und Authentifizierung	alle Konto- und Familiendaten
Vercel Inc.	USA / Server EU (Frankfurt)	Hosting von Backend und Schnittstellen	App-Daten in der Übertragung
Mistral AI	Frankreich (EU) / Server EU	KI-Textverarbeitung und Sprachtranskription (Voxtral)	Freitexte, Sprachaufnahmen, Vornamen, Alter der Kinder, Allergien/Ernährungsformen, Wohnort
Google Ireland Ltd. / Google LLC	Irland / USA	Anmeldung („Mit Google anmelden"), Kalender-Synchronisation und Push-Benachrichtigungen (FCM, Android)	E-Mail, Name, ggf. Profilbild; Kalendertermine; Push-Token, Inhalt der Benachrichtigung
Apple Inc.	USA / global	Anmeldung („Mit Apple anmelden") und Push-Benachrichtigungen (APNs, iOS)	Push-Token, Inhalt der Benachrichtigung
Upstash (QStash)	EU	zeitgenaue Planung der Erinnerungs-Benachrichtigungen	Metadaten der Erinnerung
Resend	EU	Versand von System- und Authentifizierungs-E-Mails	E-Mail-Adresse
Open-Meteo	Deutschland	Wetterdaten	Standortkoordinaten (nur bei Einwilligung)

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Übermittlung in Drittländer: Die KI-Verarbeitung (Text und Sprache) erfolgt vollständig in der EU durch Mistral AI (Paris, Frankreich); eine Übermittlung deiner Inhalte in die USA findet dafür nicht statt. Etwaige Übermittlungen an Unterauftragsverarbeiter von Mistral außerhalb der EU sind durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Die Übermittlung an Google und Apple (USA) erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO), soweit die Anbieter danach zertifiziert sind, hilfsweise auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Vertragspartner für Datenbank und Authentifizierung ist Supabase Pte. Ltd mit Sitz in Singapur; da für Singapur kein Angemessenheitsbeschluss besteht, stützt sich diese Übermittlung auf EU-Standardvertragsklauseln. Die Speicherung erfolgt weiterhin auf Servern in der EU (Frankfurt am Main).

6. KI-Verarbeitung und Sprachfunktion

Die App nutzt große Sprachmodelle von Mistral AI (EU) für: Rezept- und Aktivitätsvorschläge, Erkennung von Freitext-/Spracheingaben, Wochenpläne, Zusammenfassungen und die Sprachtranskription.

Daten, die an die KI übermittelt werden können: Vornamen der Familienmitglieder, Alter der Kinder, Allergien und Ernährungsformen, Vorlieben und Abneigungen, Wohnort (nur bei Standort-Einwilligung) sowie deine aktuelle Text- oder Spracheingabe.

Was der KI-Anbieter nach seinen API-Bedingungen nicht tut: Er nutzt die Daten nicht zum Training seiner Modelle und gibt sie nicht an Dritte weiter. Für unsere API-Aufrufe ist zudem Zero Data Retention aktiviert: Ein- und Ausgaben (einschließlich Sprachaufnahmen) werden nicht über die Verarbeitung hinaus gespeichert.

Sprachaufnahmen: Die Audio-Datei wird ausschließlich zur Transkription an Mistral (Voxtral, EU) gesendet. Bei uns wird sie nicht gespeichert - wir verarbeiten nur den resultierenden Text.

Wichtiger Hinweis zu KI-Ergebnissen: KI-Systeme können Inhalte erzeugen, die überzeugend wirken, aber unvollständig oder sachlich falsch sind. Insbesondere bei Allergien und Unverträglichkeiten gilt: Prüfe Zutaten und Produktinformationen stets selbst. Die App gibt keine Sicherheits- oder Gesundheitsgarantie.

7. Google-Kalender (optional) - einschließlich Limited Use

Wenn du deinen Google-Kalender verbindest, greift Mental Ease mit dem Berechtigungsumfang calendar.readonly ausschließlich lesend auf deine Termine zu, um sie im gemeinsamen Familienkalender anzuzeigen und dich rechtzeitig zu erinnern. Es werden keine Termine erstellt, verändert oder gelöscht.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst den Zugriff jederzeit in der App oder in deinem Google-Konto widerrufen; die synchronisierten Termine werden dann entfernt.

Limited Use: Die Verwendung und Weitergabe von Daten, die Mental Ease über Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen. Aus dem Google-Kalender gelesene Termine werden nicht an Dritte weitergegeben, nicht für Werbung genutzt und nicht zum Training von KI- oder ML-Modellen eingesetzt. Ein menschlicher Zugriff auf diese Daten erfolgt nicht, außer mit deiner ausdrücklichen Zustimmung, zu Sicherheitszwecken, zur Einhaltung geltenden Rechts oder wenn die Daten aggregiert und anonymisiert sind.

8. Anmeldung und Push-Benachrichtigungen

Anmeldung über Google oder Apple (Single Sign-On): Wenn du dich mit deinem Google- oder Apple-Konto anmeldest, erhalten wir von dort deine E-Mail-Adresse und deinen Namen (bei Apple ggf. eine anonymisierte Weiterleitungsadresse). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Push-Benachrichtigungen: Um dich an Termine und Aufgaben zu erinnern, senden wir Push-Benachrichtigungen über Apple (APNs, iOS) bzw. Google (FCM, Android). Dazu wird ein Push-Token deines Geräts gespeichert. Die zeitgenaue Planung der Erinnerungen erfolgt über Upstash (EU). Du kannst Benachrichtigungen jederzeit in den Systemeinstellungen deines Geräts deaktivieren.

9. Familien-Funktion - Daten über andere Personen

Wenn du Familienmitglieder anlegst, gibst du Daten über dritte Personen ein:

Erwachsene mit eigenem Konto (per Einladung beigetreten): erteilen ihre Einwilligung selbst beim Annehmen der Einladung.
Erwachsene ohne eigenes Konto: fallen unter die Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO) - vergleichbar mit einem Haushaltskalender.
Kinder: Du als erziehungsberechtigte Person gibst die Daten ein und erteilst die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 1626 BGB) - einschließlich der Einwilligung in gesundheitsbezogene Angaben nach Art. 9 Abs. 2 lit. a DSGVO.

Als Kontoinhaberin bzw. Kontoinhaber sicherst du zu, zur Eingabe dieser Daten berechtigt zu sein.

10. Speicherdauer

Datenkategorie	Dauer
Konto- und Familiendaten	bis zur Löschung durch dich
Nach Konto-Löschung	Alle zugehörigen Daten werden gelöscht - auch dein Feedback und deine technischen Fehlerprotokolle. Löscht die Kontoinhaberin bzw. der Kontoinhaber das Konto, wird der gesamte Haushalt kaskadierend gelöscht.
Freitext-Eingaben („Brain Dump")	keine Speicherung des Textes; gespeichert werden nur die daraus erzeugten Einträge
Nutzungs-Ereignisse	bleiben als Kennzahl erhalten; bei der Konto-Löschung wird die Kennung durch eine Zufallskennung ohne Zuordnung ersetzt
Auswertung der KI-Nutzung	Modell, Anzahl der Token und Kosten pro Anfrage bleiben als Kostenaufzeichnung erhalten - ohne Inhalt und ohne Bezug zu deinem Konto
Backups	gelöschte Daten verbleiben in Sicherungskopien bis zum Ablauf des Backup-Zyklus (wenige Wochen)
Sprachaufnahmen	keine Speicherung bei uns; bei Mistral keine Speicherung über die Transkription hinaus (Zero Data Retention)
Technische Logs	kurze, routinemäßige Log-Rotation
Gesetzliche Aufbewahrung	soweit gesetzlich vorgeschrieben (z. B. Rechnungen)

11. Deine Rechte (Art. 15-21 DSGVO)

Recht auf Auskunft (Art. 15)
Recht auf Berichtigung (Art. 16)
Recht auf Löschung (Art. 17) - direkt in der App unter „Profil → Gefahrenbereich → Konto löschen"; eine Schritt-für-Schritt-Anleitung steht auf mentalease.organaize.me/konto-loeschen
Recht auf Einschränkung der Verarbeitung (Art. 18)
Recht auf Datenübertragbarkeit (Art. 20) - bitte per E-Mail anfragen
Widerspruchsrecht (Art. 21)
Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3)
Beschwerderecht bei einer Aufsichtsbehörde. Für uns zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2-4, 40213 Düsseldorf, www.ldi.nrw.de

Für alle Anfragen: office@organaize.me

12. Sicherheit

Verschlüsselung: TLS 1.2+ bei der Übertragung, AES-256 bei der Speicherung; sensible Zugriffs-Tokens zusätzlich verschlüsselt
Trennung der Haushalte über Row-Level-Security auf Datenbankebene
Zugriffsschutz über Bearer-Token; privilegierte Schlüssel ausschließlich serverseitig
Anmeldung per E-Mail/Passwort oder Google-/Apple-SSO; E-Mail-Einmalcode (OTP) als zweiter Faktor bei sensiblen Aktionen wie der Konto-Löschung
Auf dem Gerät werden Anmelde-Tokens ausschließlich im geschützten Systemspeicher abgelegt (iOS-Keychain bzw. Android-Keystore)

13. Speicherung auf deinem Gerät

Die App speichert lokal: den Anmelde-Token (im geschützten Systemspeicher des Geräts), Einstellungen und zwischengespeicherte Inhalte zur Bedienbarkeit. Es werden keine Werbe- oder Tracking-Cookies gesetzt und keine externen Tracker eingebunden.

14. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung bei wesentlichen Änderungen anpassen. Über erhebliche Änderungen informieren wir per E-Mail oder In-App-Hinweis.

Stand: 25. August 2026