Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

DR Development and Media LLC, Vazha Pshavela Avenue Nr. 20, 0112 Tiflis, Georgien
Geschäftsführer: Dimitri Roschkowski
E-Mail: info@mypep.app

2. Grundprinzip: Zero-Knowledge

myPeptides ist nach dem Zero-Knowledge-Prinzip aufgebaut. Deine inhaltlichen Daten (z. B. deine Peptid-Einträge, Pläne, Tracker-Daten, Rechner-Eingaben) werden primär lokal in deinem Browser gespeichert (IndexedDB) und verlassen dein Gerät nicht, solange du die optionale Cloud-Synchronisation nicht aktivierst. Wir betreiben kein Tracking, keine Analyse-Tools, keine Werbe-Cookies und geben keine Daten an Dritte zur Vermarktung weiter.

3. Welche Daten verarbeitet werden

a) Lokale Daten (auf deinem Gerät, IndexedDB). Deine in der App erstellten Inhalte werden lokal in deinem Browser gespeichert. Wir als Betreiber haben darauf keinen Zugriff. Du kannst diese Daten jederzeit selbst löschen, indem du sie in der App entfernst oder die Browser-Daten dieser Website löschst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

b) Optionaler Cloud-Sync (Ende-zu-Ende-verschlüsselt). Wenn du die Synchronisation aktivierst, werden deine Daten vor dem Verlassen deines Geräts mit einem nur dir bekannten Schlüssel Ende-zu-Ende verschlüsselt und nur als verschlüsselte Datenblöcke (Chiffrat) an unseren Sync-Server (sync.mypep.app) übertragen. Der Server kann den Klartext deiner Daten zu keinem Zeitpunkt einsehen und speichert ausschließlich verschlüsselte Inhalte sowie die zur Synchronisation technisch erforderlichen Metadaten (z. B. ein Konto-/Geräte-Kennzeichen, Zeitstempel der Übertragung). Wir können deine Inhalte nicht entschlüsseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie Art. 6 Abs. 1 lit. b DSGVO.

c) Technisch notwendige Cookies. Wir setzen ausschließlich technisch notwendige Cookies, die keiner Einwilligung bedürfen: mp_lang (Sprachwahl) und ein Speicherwert für das Farbschema (Hell/Dunkel). Diese enthalten keine personenbezogenen Profile und dienen nicht der Nachverfolgung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 TDDDG.

d) Server-Logs / Hosting. Beim Aufruf der Website verarbeitet unser Hosting-Anbieter (Server in der EU) automatisch technische Zugriffsdaten (z. B. IP-Adresse, Datum/Uhrzeit, abgerufene Ressource, Statuscode, User-Agent), technisch erforderlich für Auslieferung, Stabilität und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

e) Zahlungsabwicklung (Paddle). Käufe von myPeptides Pro im Browser werden von Paddle.com Market Limited abgewickelt. Paddle ist Verkäufer und Merchant of Record und insoweit eigener Verantwortlicher, nicht unser Auftragsverarbeiter. Bereits beim Öffnen der Kaufseite verarbeitet Paddle deine IP-Adresse, um Land, Währung und Steuersatz zu bestimmen; beim Kauf kommen deine E-Mail-Adresse, Rechnungsdaten und Zahlungsdaten hinzu. Wir übermitteln dabei eine pseudonyme Konto-Kennung (eine zufällige UUID), damit dein Kauf deinem Konto zugeordnet werden kann. Für sich genommen sagt diese Kennung nichts über deine Person aus — Paddle und RevenueCat speichern sie aber zusammen mit deiner E-Mail-Adresse und deinen Rechnungsdaten, und damit ist sie dort einer identifizierten Person zugeordnet. Für uns ist sie deinem Konto zuordenbar. Sie ist deshalb in jedem Fall ein personenbezogenes Datum und nicht anonym. Inhaltliche Daten aus der App werden nicht übermittelt — sie sind Ende-zu-Ende-verschlüsselt und für Paddle wie für uns unlesbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung von Paddle: https://www.paddle.com/legal/privacy

3a. Konto mit E-Mail-Adresse und Passwort

Wenn du ein Konto mit E-Mail-Adresse anlegst, verarbeiten wir erstmals eine Angabe, die dich identifizieren kann. Was dabei gespeichert wird, steht hier vollständig.

Welche Daten. Deine E-Mail-Adresse; ein aus deinem Passwort abgeleiteter Prüfwert (das Passwort selbst erreicht unseren Server nie und wird nirgends gespeichert); Sitzungsdaten, solange du angemeldet bist; Zeitpunkt und eine zufällige Kennung für Browser, denen du ausdrücklich vertraust; sowie ein verschlüsselter Schlüsselbund, den nur du öffnen kannst — für uns ist er eine Folge unlesbarer Bytes.

Zweck und Rechtsgrundlage. Die Verarbeitung dient der Erfüllung des Nutzungsvertrags: ohne Konto gibt es keinen Zugang zu deinen synchronisierten Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Empfänger. Bestätigungs- und Anmeldecodes versenden wir über einen eigenen Mailserver des Verantwortlichen (smtp.dr-gruppe.net). Ein externer E-Mail-Dienstleister ist nicht eingeschaltet: Deine Adresse erhält weder ein Auftragsverarbeiter noch ein Dritter.

Getrennte Datenbestände. Der E-Mail-Dienst und der Sync-Dienst (sync.mypep.app) liegen in getrennten Datenbeständen ohne gemeinsames Kennzeichen. Aus unseren eigenen Beständen lässt sich deshalb nicht ermitteln, welche E-Mail-Adresse zu welchem synchronisierten Konto gehört. Ehrlich dazugesagt: Bei zahlenden Kundinnen und Kunden kennt der Zahlungsdienstleister die E-Mail-Adresse und die Abo-Verwaltung die Kontokennung — dort ist eine Zuordnung technisch möglich.

Speicherdauer. Kontodaten bleiben bis zu deiner Löschung. Registrierungen, die nie bestätigt wurden, löschen wir nach 48 Stunden. Bestätigte Konten, bei denen die Einrichtung nie abgeschlossen wurde, löschen wir nach 7 Tagen. Das Vertrauen eines Browsers erlischt nach 60 Tagen. Forderst du den vollständigen Neustart deines Kontos an, werden die verschlüsselten Schlüssel 72 Stunden später gelöscht; jede erfolgreiche Anmeldung in dieser Zeit bricht den Vorgang ab.

Authenticator-App und Passkeys. Richtest du eine Authenticator-App ein, speichern wir ein verschlüsseltes TOTP-Geheimnis und verschlüsselte Ersatzcodes. Beides verlässt unseren Server nicht und sagt nichts über dein Gerät aus. Legst du einen Passkey an, speichern wir seinen öffentlichen Schlüssel, eine Credential-Kennung, einen Zähler, den Namen, den du vergibst, und die Modellkennung des Authenticators (AAGUID) — kein biometrisches Merkmal. Dein Fingerabdruck oder dein Gesicht verlässt dein Gerät nie; wir erfahren nur, dass dein Gerät die Prüfung durchgeführt hat. Passkeys und die Authenticator-App bestehen, bis du sie in den Einstellungen entfernst, und verschwinden mit deinem Konto.

Löschung. In den Einstellungen unter „Konto" kannst du dein Konto jederzeit selbst löschen. Danach sind die synchronisierten Inhalte endgültig nicht mehr lesbar — auch für uns nicht, denn den Schlüssel dazu hattest nur du.

Abo-Verwaltung (RevenueCat). Kaufst du myPeptides Pro, verarbeitet RevenueCat, Inc. (USA) den Kauf in unserem Auftrag, um deinen Pro-Zugang über alle deine Geräte hinweg zu verwalten — als Auftragsverarbeiter nach Art. 28 DSGVO, gebunden an unsere Weisungen. Übermittelt werden die pseudonyme Konto-Kennung und die Kaufdaten von Paddle, einschließlich deiner E-Mail-Adresse; keine Inhalte aus der App. Wer nichts kauft, hat mit RevenueCat nichts zu tun. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Übermittlung in die USA stützt sich auf den jeweils geltenden Übermittlungsmechanismus (EU-US Data Privacy Framework bzw. Standardvertragsklauseln). Datenschutzerklärung: https://www.revenuecat.com/privacy

3b. Anmeldung zur Beta

Trägst du dich unter mypep.app/beta für die Beta ein, speichern wir deinen Vornamen, deine E-Mail-Adresse, die gewählte Plattform (iPhone oder Android), die Sprache der Seite und den Zeitpunkt der Anmeldung.

Zweck und Rechtsgrundlage. Wir nutzen diese Angaben ausschließlich, um dich zur Beta einzuladen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Absenden des Formulars erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst.

Empfänger. Über jede neue Anmeldung benachrichtigt uns eine E-Mail über unseren eigenen Mailserver. Für die Einladung selbst geben wir deine E-Mail-Adresse weiter: bei iPhone an Apple (TestFlight), bei Android an Google (Testerliste des geschlossenen Tests bei Google Play). Apple bzw. Google verschicken die Einladung und verarbeiten die Adresse dabei als eigene Verantwortliche nach ihren Datenschutzbestimmungen, auch in den USA. Vorname, Sprache und Zeitpunkt bleiben bei uns.

Speicherdauer und Löschung. Wir speichern die Angaben bis zum Ende der Beta oder bis zu deinem Widerruf, je nachdem, was zuerst eintritt. Für Widerruf oder Löschung genügt eine kurze Mail an info@mypep.app; aus der Testerliste bei Apple bzw. Google nehmen wir dich dann ebenfalls heraus.

3c. Öffentliches Profil (optional, Pro)

Schaltest du in den Einstellungen „Profil teilen" ein, veröffentlichen wir unter mypep.app/p/… eine Seite mit genau den Angaben, die du dort einzeln einschaltest: einem selbst gewählten Anzeigenamen, deinen Peptiden (Katalognamen; Namen eigener Peptide so, wie du sie eingegeben hast), Dosis, Häufigkeit, Startdatum, Status und letzter Einnahme sowie Körperwerten (Gewicht mit Verlauf, Bauchumfang, BMI ohne deine Größe, Fortschritt zum Zielgewicht, Therapietreue). Jeder, der den Link kennt, kann die Seite ohne Anmeldung lesen. Diese Seite ist der einzige Teil deiner Daten, den unser Server unverschlüsselt speichert; alles andere bleibt Ende-zu-Ende-verschlüsselt.

Zweck und Rechtsgrundlage. Wir veröffentlichen die Seite, weil du uns darum bittest (Art. 6 Abs. 1 lit. b DSGVO). Gesundheitswerte erscheinen nur, wenn du sie einzeln einschaltest; damit willigst du ausdrücklich in ihre Veröffentlichung ein (Art. 9 Abs. 2 lit. a DSGVO). Du kannst das jederzeit widerrufen, indem du einzelne Werte oder die ganze Seite abschaltest.

Besucher und Suchmaschinen. Die Seite ist mit „noindex" markiert und steht nicht in unserer Sitemap. Sie setzt außer dem bestehenden Sprach-Cookie keine Cookies und erfasst keine Besucher. Zum Schutz vor Missbrauch hält unser Webserver die IP-Adresse eines Besuchers kurz im Arbeitsspeicher, um Anfragen zu begrenzen; gespeichert wird sie nicht.

Speicherdauer und Löschung. Wir halten nur den aktuellen Stand vor, keine Historie. Schaltest du die Seite ab, löschen wir sie sofort auf unserem Server; erneuerst du den Link, wird der alte ungültig. Aus technischen Gründen kann der bisherige Inhalt noch bis zu 60 Sekunden aus dem Zwischenspeicher des Webservers ausgeliefert werden. Endet Pro, ist die Seite offline und wird nach 90 Tagen gelöscht. Löschst du dein Konto, wird die Seite mitgelöscht.

4. Kein Tracking, keine Analyse, keine Werbung

Wir verwenden keine Analyse- oder Tracking-Dienste (kein Google Analytics o. Ä.), keine Werbe-Cookies, kein Profiling und keine automatisierte Entscheidungsfindung. Es findet keine Weitergabe deiner Daten an Dritte zu Werbe- oder Vermarktungszwecken statt.

5. Empfänger / Auftragsverarbeiter

Eine Übermittlung findet nur an den Hosting-/Server-Dienstleister statt, der die Infrastruktur in der EU bereitstellt; mit diesem besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Da Cloud-Sync-Inhalte Ende-zu-Ende verschlüsselt sind, erhält auch dieser Dienstleister keinen Zugriff auf deine Klartext-Inhalte.

6. Speicherdauer

Lokale Daten verbleiben bis zur Löschung durch dich auf deinem Gerät. Verschlüsselte Sync-Daten werden gespeichert, bis du sie über die App löschst oder die Synchronisation beendest. Server-Logs werden nur für die zur Sicherheit erforderliche, kurze Dauer aufbewahrt.

7. Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21). Eine Einwilligung (z. B. Cloud-Sync) kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Da wir deine Inhalte nicht entschlüsseln können, kannst du sie jederzeit selbst vollständig löschen. Du hast zudem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde.

8. Kontakt

Für Auskünfte und zur Wahrnehmung deiner Rechte: info@mypep.app