Datenschutzrichtlinie der SUPERSONIC Life Energy Coach-Anwendung

 

1. Datenadministrator

Der Administrator Ihrer persönlichen Daten ist Supersonic Food PL sp. z o.o. mit Sitz in Warschau, ul. Bruzdowa 100c/2, 02-991 Warszawa, eingetragen im Unternehmerregister des Landesgerichtsregisters unter der Nummer 0000839873, NIP 9512501164, REGON 385996745 („SUPERSONIC“, „wir“).

In allen Fragen zum Schutz personenbezogener Daten können Sie sich unter folgender E-Mail-Adresse an uns wenden: contactus@biz.supersonicfood.com oder schriftlich an die eingetragene Firmenadresse.

2. Was diese Police abdeckt

Die Richtlinie beschreibt die Regeln für die Verarbeitung personenbezogener Daten von Benutzern der mobilen Anwendung SUPERSONIC Life Energy Coach („Anwendung“). Die Anwendung kombiniert tägliche Check-ins zum Wohlbefinden (Schlaf, Energie, Stimmung) mit Gesprächen mit einem KI-Assistenten („Coach“) und einem Katalog von SUPERSONIC-Nahrungsergänzungsmitteln. Die Anwendung verarbeitet Gesundheitsdaten – also Daten besonderer Kategorie im Sinne des Art. 9 DSGVO. Wir nehmen es ernst und beschreiben im Folgenden genau, was, warum und wohin es geht.

3. Welche Daten verarbeiten wir?

3.1. Kontodaten

• E-Mail-Adresse (Login, Zugangsverifizierung, Kontokommunikation),
• Zeitstempel der erteilten Einwilligungen (unveränderlicher Datensatz auf der Serverseite – Nachweis der Einwilligung).

3.2. Beim Onboarding bereitgestellte Profildaten

• Geburtsdatum (Altersnachweis), Geschlecht,
• Gewicht und Größe,
• Ernährung und Lebensstil,
• Ziele (z.B. Energie, Schlaf, Figur),
• Lebensphase: Schwangerschaft, Wechseljahre, Menstruationszyklusphase,
• Hauptprobleme: Schlafqualität, Stimmungsschwankungen, Energiemangel.

Bei den in Punkt 3.2 aufgeführten Daten (außer Geburtsdatum und Geschlecht) handelt es sich ganz oder teilweise um Gesundheitsdaten (Art. 9 DSGVO). Grundlage für die Verarbeitung ist Ihre ausdrückliche, gesonderte Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

3.3. Tägliche Check-ins und Geschichte

• Beurteilung der Schlafqualität, des Energieniveaus und der Stimmung (Skala 1–5),
• Anzahl der Schritte, Gewichtseinträge im Zeitverlauf,
• KI-generierte Tipps und Berichte (abgeleitet aus Gesundheitsdaten).

3.4. Gespräche mit Coach (KI)

Wir speichern den gesamten Inhalt Ihrer Gespräche mit dem Coach, von KI generierte Gesprächszusammenfassungen und das „Langzeitgedächtnis“ des Coachs (z. B. Informationen zu Koffein, Alkohol, Stressquellen, Schlaf, eingenommene Nahrungsergänzungsmittel). Wir tun dies, damit sich der Coach an den Kontext Ihrer vorherigen Gespräche erinnert und nicht immer wieder dieselben Fragen stellt. Der Inhalt der Gespräche betrifft Gesundheit und Wohlbefinden, es handelt sich also um Daten im Sinne von Art. 9 DSGVO.

3.5. Einkaufsdaten (Shopify)

• Kunden-ID und E-Mail-Adresse des Shopify-Shops
• Vor- und Nachname,
• Bestellartikel (Namen der gekauften Produkte), Abonnementstatus.

Die Kaufdaten werden nur zur Überprüfung der Zugriffsrechte auf die Anwendung verwendet (Abgleich der verifizierten E-Mail-Adresse mit dem Kauf). Die App sendet keine Daten über Ihre Gesundheit oder Konversationsinhalte an Shopify.

3.6. Was wir NICHT sammeln

• Wir führen in der Anwendung keine Verhaltensanalysen oder Nachverfolgungen durch (keine aktiven Analysetools).
• Wir verwenden keine Cookies (mobile Anwendung),
• Wir senden Ihre E-Mail-Adresse, Ihren Namen oder Ihre Konto-ID nicht an den KI-Anbieter.

4. Zwecke und Rechtsgrundlage der Verarbeitung

Zweck	Datenbereich	Rechtsgrundlage
Kontoerstellung und -pflege, Zugriffsüberprüfung	E-Mail, Kaufdaten, Einwilligungs-Tags	Kunst. Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
Bereitstellung von Coaching-Dienstleistungen: Check-ins, Berichte, Gespräche mit dem Coach	Profildaten, Check-ins, Gesprächsinhalte, Coach-Speicher	Kunst. Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) im Zusammenhang mit joke. 6 Abs. 1 Buchstabe a
Übermittlung von Daten an den KI-Modellanbieter (Anthropic, USA), um Coach-Antworten und -Berichte zu generieren	Profildaten, Check-ins, Gesprächsinhalte (ohne E-Mail, Name und Account-ID)	Kunst. Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung einschließlich Weitergabe); Übertragungsmechanismus: Kap. 6
Transaktions-E-Mail mit Zugangscode nach dem Kauf	Name, Bestellnummer, Code	Kunst. Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
Geltendmachung, Geltendmachung oder Abwehr von Ansprüchen; Servicesicherheit	Kontodaten, technische Protokolle (reduziert)	Kunst. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
Steuer- und Buchhaltungspflichten (Kaufabrechnungen)	Kaufdaten	Kunst. Art. 6 Abs. 1 lit. c DSGVO

Freiwillige Einwilligung. Die Zustimmung zur Verarbeitung von Gesundheitsdaten ist freiwillig, aber ohne sie können wir keine Coaching-Dienstleistungen anbieten – der Kern der Anwendung besteht darin, an Daten über Ihr Wohlbefinden zu arbeiten.

5. Datenempfänger

Entität	Rolle	Standort	Was es verarbeitet
Supabase	Prozessor	EU (EU-Region)	Datenbank, Authentifizierung, Serverfunktionen
Anthropisches PBC (Claude API)	Prozessor	USA	Gesundheitsdaten und Gesprächsinhalte in Abfragen an das KI-Modell
Shopify	separater Administrator	USA/Kanada	Einkaufsdaten: E-Mail, Vor- und Nachname, Bestellungen
Erneut senden	Prozessor	USA	Senden einer Transaktions-E-Mail (Name, Bestellnummer, Code)

6. Datenübermittlung außerhalb des EWR

Einige unserer Lieferanten verarbeiten Daten in den Vereinigten Staaten. Dies gilt insbesondere für Anthropic (KI-Modellanbieter), Shopify und Resend.

6.1. Anthropic (Claude API) – Gesundheitsdaten

Abfragen an das KI-Modell umfassen Daten zu Ihrer Gesundheit und Ihrem Wohlbefinden (Profil, Check-ins, Gesprächsinhalte). Sie enthalten nicht Ihre E-Mail-Adresse, Ihren Namen oder Ihre Konto-ID. Grundlage für die Übermittlung sind EU-Standardvertragsklauseln (SCC, Kommissionsbeschluss 2021/914, Modul „Verantwortlicher-Verarbeiter“), die im Rahmen der kommerziellen Nutzungsbedingungen der API in den mit Anthropic geschlossenen Betrauungsvertrag (DPA) eingebunden sind. Gemäß den Geschäftsbedingungen von Anthropic werden die über die API bereitgestellten Daten nicht zum Trainieren von Modellen verwendet und die Standardaufbewahrungsfrist auf der Website von Anthropic beträgt bis zu 30 Tage. Da es sich bei der Weitergabe um Daten nach Art. Gemäß Art. 9 DSGVO bitten wir Sie vor der erstmaligen Nutzung von Coach um eine gesonderte, ausdrückliche Einwilligung, einschließlich Informationen zur Datenübermittlung in die USA.

6.2. Shopify und erneut senden

Shopify (Einkaufsdaten) und Resend (Transaktions-E-Mail) verarbeiten nur reguläre Daten – sie haben keinen Zugriff auf Ihre Gesundheitsdaten oder Konversationsinhalte. Die Übermittlung der Daten an diese Stellen erfolgt auf Grundlage von Mechanismen, die ein angemessenes Schutzniveau gemäß der DSGVO gewährleisten, insbesondere auf einem Angemessenheitsbeschluss (z. B. im Rahmen des Data Privacy Framework) oder auf genehmigten Standardvertragsklauseln (SCC).

7. Aufbewahrungsfristen

Daten	Zeitraum
Kontodaten (E-Mail, Einwilligungen)	um Ihr Konto zu löschen; Einwilligungsvermerke – für die Verjährungsfrist etwaiger Ansprüche (in der Regel 6 Jahre ab Ende der Leistungserbringung).
Profil, Check-ins, Berichte, Gespräche und das Gedächtnis des Trainers	von Ihnen gelöscht werden (Profil-Reset / Kontolöschung)
Daten auf der anthropischen Seite (API-Abfragen)	bis zu 30 Tage ab Bearbeitung (Anthropic-Geschäftsbedingungen).
Kaufdaten	für den von den Steuer- und Rechnungslegungsvorschriften vorgeschriebenen Zeitraum
Technische Protokolle der Serverfunktionen (reduziert: Seriell/Status)	kurzfristig (ca. 24 Stunden auf aktueller Infrastruktur)

8. Ihre Rechte

Sie haben das Recht:

• Zugriff auf Daten und Erhalt einer Kopie davon (Artikel 15),
• Berichtigung von Daten (Artikel 16),
• Löschung von Daten – „Recht auf Vergessenwerden“ (Artikel 17),
• Einschränkungen der Verarbeitung (Artikel 18),
• Datenübertragbarkeit (Artikel 20),
• Widerspruch gegen die Verarbeitung aufgrund eines berechtigten Interesses (Artikel 21),
• Einwilligung jederzeit widerrufen – ohne dass dadurch die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird,
• eine Beschwerde beim Präsidenten des Amtes für den Schutz personenbezogener Daten einreichen (ul. Stawki 2, 00-193 Warschau, uodo.gov.pl).

So üben Sie Ihre Rechte aus: Schreiben Sie an contactus@biz.supersonicfood.com. Das Zurücksetzen des Profils ist in der Anwendung verfügbar (löscht Berichte, Check-ins, Gespräche und den Coach-Speicher). Die vollständige Löschung des Kontos, einschließlich der Konto- und Kaufdaten, soweit wir nicht gesetzlich zur Aufbewahrung verpflichtet sind, führen wir auf Anfrage an die gleiche Adresse durch. Der Widerruf der Einwilligung zur Verarbeitung der Gesundheitsdaten verhindert eine weitere Nutzung der Coaching-Funktion.

Einschränkungen: Wir können Daten, die bereits an Anthropic übertragen wurden, nicht direkt löschen – sie werden automatisch auf Anthropic-Seite gemäß der Aufbewahrungsrichtlinie (bis zu 30 Tage) gelöscht. Kaufdaten auf Shopify unterliegen separaten SUPERSONIC-Shop-Richtlinien.

9. Automatisierte Verarbeitung und Profiling

Die Anwendung generiert mithilfe von KI Berichte, Tipps und Empfehlungen auf Basis Ihrer Gesundheitsdaten – es handelt sich hierbei um Profiling im Sinne der DSGVO. Die Empfehlungen haben unterstützenden Charakter (Lifestyle/Wellness) und haben für Sie keine rechtlichen oder ähnlich erheblichen Auswirkungen im Sinne des Art. Gemäß Art. 22 DSGVO treffen Sie die endgültigen Entscheidungen (z. B. Kauf eines Nahrungsergänzungsmittels, Änderung Ihrer Gewohnheiten) stets selbst. Der Coach ist kein Arzt, er diagnostiziert und behandelt nicht. KI-generierte Inhalte stellen keine medizinische Beratung dar.

10. Alter der Benutzer

Die Anwendung ist nur für Erwachsene (18+) bestimmt. Die Verifizierung erfolgt anhand des angegebenen Geburtsdatums. Wenn wir feststellen, dass das Konto einem Minderjährigen gehört, werden das Konto und die erfassten Daten gelöscht.

11. Sicherheit

Die Daten werden auf der Supabase-Infrastruktur im EU-Raum gespeichert, mit Zugriffskontrolle auf Datenbankebene (RLS), Übertragungsverschlüsselung und Privilegientrennung für Serverfunktionen. Technische Protokolle wurden reduziert, sodass sie nicht mehr vollständige personenbezogene Daten enthalten.

12. Richtlinienänderungen

Über wesentliche Änderungen der Richtlinien werden wir Sie vorab im Antrag informieren. Die aktuelle Version ist immer unter https://supersonicfood.com/appprivacy verfügbar.