Datenschutzerklärung

Stand: Juni 2026

1. Verantwortlicher

DR Development and Media LLC, Vazha Pshavela Avenue Nr. 20, 0112 Tiflis, Georgien
Geschäftsführer: Dimitri Roschkowski
E-Mail: info@mypep.app

2. Grundprinzip: Zero-Knowledge

myPeptides ist nach dem Zero-Knowledge-Prinzip aufgebaut. Deine inhaltlichen Daten (z. B. deine Peptid-Einträge, Pläne, Tracker-Daten, Rechner-Eingaben) werden primär lokal in deinem Browser gespeichert (IndexedDB) und verlassen dein Gerät nicht, solange du die optionale Cloud-Synchronisation nicht aktivierst. Wir betreiben kein Tracking, keine Analyse-Tools, keine Werbe-Cookies und geben keine Daten an Dritte zur Vermarktung weiter.

3. Welche Daten verarbeitet werden

a) Lokale Daten (auf deinem Gerät, IndexedDB). Deine in der App erstellten Inhalte werden lokal in deinem Browser gespeichert. Wir als Betreiber haben darauf keinen Zugriff. Du kannst diese Daten jederzeit selbst löschen, indem du sie in der App entfernst oder die Browser-Daten dieser Website löschst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

b) Optionaler Cloud-Sync (Ende-zu-Ende-verschlüsselt). Wenn du die Synchronisation aktivierst, werden deine Daten vor dem Verlassen deines Geräts mit einem nur dir bekannten Schlüssel Ende-zu-Ende verschlüsselt und nur als verschlüsselte Datenblöcke (Chiffrat) an unseren Sync-Server (sync.mypep.app) übertragen. Der Server kann den Klartext deiner Daten zu keinem Zeitpunkt einsehen und speichert ausschließlich verschlüsselte Inhalte sowie die zur Synchronisation technisch erforderlichen Metadaten (z. B. ein Konto-/Geräte-Kennzeichen, Zeitstempel der Übertragung). Wir können deine Inhalte nicht entschlüsseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie Art. 6 Abs. 1 lit. b DSGVO.

c) Technisch notwendige Cookies. Wir setzen ausschließlich technisch notwendige Cookies, die keiner Einwilligung bedürfen: mp_lang (Sprachwahl) und ein Speicherwert für das Farbschema (Hell/Dunkel). Diese enthalten keine personenbezogenen Profile und dienen nicht der Nachverfolgung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 TDDDG.

d) Server-Logs / Hosting. Beim Aufruf der Website verarbeitet unser Hosting-Anbieter (Server in der EU) automatisch technische Zugriffsdaten (z. B. IP-Adresse, Datum/Uhrzeit, abgerufene Ressource, Statuscode, User-Agent), technisch erforderlich für Auslieferung, Stabilität und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

e) Zahlungsabwicklung (Paddle). Käufe von myPeptides Pro im Browser werden von Paddle.com Market Limited abgewickelt. Paddle ist Verkäufer und Merchant of Record und insoweit eigener Verantwortlicher, nicht unser Auftragsverarbeiter. Bereits beim Öffnen der Kaufseite verarbeitet Paddle deine IP-Adresse, um Land, Währung und Steuersatz zu bestimmen; beim Kauf kommen deine E-Mail-Adresse, Rechnungsdaten und Zahlungsdaten hinzu. Wir übermitteln dabei eine pseudonyme Konto-Kennung (eine zufällige UUID), damit dein Kauf deinem Konto zugeordnet werden kann. Für sich genommen sagt diese Kennung nichts über deine Person aus — Paddle und RevenueCat speichern sie aber zusammen mit deiner E-Mail-Adresse und deinen Rechnungsdaten, und damit ist sie dort einer identifizierten Person zugeordnet. Für uns ist sie deinem Konto zuordenbar. Sie ist deshalb in jedem Fall ein personenbezogenes Datum und nicht anonym. Inhaltliche Daten aus der App werden nicht übermittelt — sie sind Ende-zu-Ende-verschlüsselt und für Paddle wie für uns unlesbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung von Paddle: https://www.paddle.com/legal/privacy

3a. Konto mit E-Mail-Adresse und Passwort

Wenn du ein Konto mit E-Mail-Adresse anlegst, verarbeiten wir erstmals eine Angabe, die dich identifizieren kann. Was dabei gespeichert wird, steht hier vollständig.

Welche Daten. Deine E-Mail-Adresse; ein aus deinem Passwort abgeleiteter Prüfwert (das Passwort selbst erreicht unseren Server nie und wird nirgends gespeichert); Sitzungsdaten, solange du angemeldet bist; Zeitpunkt und eine zufällige Kennung für Browser, denen du ausdrücklich vertraust; sowie ein verschlüsselter Schlüsselbund, den nur du öffnen kannst — für uns ist er eine Folge unlesbarer Bytes.

Zweck und Rechtsgrundlage. Die Verarbeitung dient der Erfüllung des Nutzungsvertrags: ohne Konto gibt es keinen Zugang zu deinen synchronisierten Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Empfänger. Bestätigungs- und Anmeldecodes versenden wir über einen eigenen Mailserver des Verantwortlichen (smtp.dr-gruppe.net). Ein externer E-Mail-Dienstleister ist nicht eingeschaltet: Deine Adresse erhält weder ein Auftragsverarbeiter noch ein Dritter.

Getrennte Datenbestände. Der E-Mail-Dienst und der Sync-Dienst (sync.mypep.app) liegen in getrennten Datenbeständen ohne gemeinsames Kennzeichen. Aus unseren eigenen Beständen lässt sich deshalb nicht ermitteln, welche E-Mail-Adresse zu welchem synchronisierten Konto gehört. Ehrlich dazugesagt: Bei zahlenden Kundinnen und Kunden kennt der Zahlungsdienstleister die E-Mail-Adresse und die Abo-Verwaltung die Kontokennung — dort ist eine Zuordnung technisch möglich.

Speicherdauer. Kontodaten bleiben bis zu deiner Löschung. Registrierungen, die nie bestätigt wurden, löschen wir nach 48 Stunden. Bestätigte Konten, bei denen die Einrichtung nie abgeschlossen wurde, löschen wir nach 7 Tagen. Das Vertrauen eines Browsers erlischt nach 60 Tagen. Forderst du den vollständigen Neustart deines Kontos an, werden die verschlüsselten Schlüssel 72 Stunden später gelöscht; jede erfolgreiche Anmeldung in dieser Zeit bricht den Vorgang ab.

Authenticator-App und Passkeys. Richtest du eine Authenticator-App ein, speichern wir ein verschlüsseltes TOTP-Geheimnis und verschlüsselte Ersatzcodes. Beides verlässt unseren Server nicht und sagt nichts über dein Gerät aus. Legst du einen Passkey an, speichern wir seinen öffentlichen Schlüssel, eine Credential-Kennung, einen Zähler, den Namen, den du vergibst, und die Modellkennung des Authenticators (AAGUID) — kein biometrisches Merkmal. Dein Fingerabdruck oder dein Gesicht verlässt dein Gerät nie; wir erfahren nur, dass dein Gerät die Prüfung durchgeführt hat. Passkeys und die Authenticator-App bestehen, bis du sie in den Einstellungen entfernst, und verschwinden mit deinem Konto.

Löschung. In den Einstellungen unter „Konto" kannst du dein Konto jederzeit selbst löschen. Danach sind die synchronisierten Inhalte endgültig nicht mehr lesbar — auch für uns nicht, denn den Schlüssel dazu hattest nur du.

Abo-Verwaltung (RevenueCat). Kaufst du myPeptides Pro, verarbeitet RevenueCat, Inc. (USA) den Kauf in unserem Auftrag, um deinen Pro-Zugang über alle deine Geräte hinweg zu verwalten — als Auftragsverarbeiter nach Art. 28 DSGVO, gebunden an unsere Weisungen. Übermittelt werden die pseudonyme Konto-Kennung und die Kaufdaten von Paddle, einschließlich deiner E-Mail-Adresse; keine Inhalte aus der App. Wer nichts kauft, hat mit RevenueCat nichts zu tun. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Übermittlung in die USA stützt sich auf den jeweils geltenden Übermittlungsmechanismus (EU-US Data Privacy Framework bzw. Standardvertragsklauseln). Datenschutzerklärung: https://www.revenuecat.com/privacy

3b. Anmeldung zur Beta

Trägst du dich unter mypep.app/beta für die Beta ein, speichern wir deinen Vornamen, deine E-Mail-Adresse, die gewählte Plattform (iPhone oder Android), die Sprache der Seite und den Zeitpunkt der Anmeldung.

Zweck und Rechtsgrundlage. Wir nutzen diese Angaben ausschließlich, um dich zur Beta einzuladen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Absenden des Formulars erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst.

Empfänger. Über jede neue Anmeldung benachrichtigt uns eine E-Mail über unseren eigenen Mailserver. Für die Einladung selbst geben wir deine E-Mail-Adresse weiter: bei iPhone an Apple (TestFlight), bei Android an Google (Testerliste des geschlossenen Tests bei Google Play). Apple bzw. Google verschicken die Einladung und verarbeiten die Adresse dabei als eigene Verantwortliche nach ihren Datenschutzbestimmungen, auch in den USA. Vorname, Sprache und Zeitpunkt bleiben bei uns.

Speicherdauer und Löschung. Wir speichern die Angaben bis zum Ende der Beta oder bis zu deinem Widerruf, je nachdem, was zuerst eintritt. Für Widerruf oder Löschung genügt eine kurze Mail an info@mypep.app; aus der Testerliste bei Apple bzw. Google nehmen wir dich dann ebenfalls heraus.

4. Kein Tracking, keine Analyse, keine Werbung

Wir verwenden keine Analyse- oder Tracking-Dienste (kein Google Analytics o. Ä.), keine Werbe-Cookies, kein Profiling und keine automatisierte Entscheidungsfindung. Es findet keine Weitergabe deiner Daten an Dritte zu Werbe- oder Vermarktungszwecken statt.

5. Empfänger / Auftragsverarbeiter

Eine Übermittlung findet nur an den Hosting-/Server-Dienstleister statt, der die Infrastruktur in der EU bereitstellt; mit diesem besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Da Cloud-Sync-Inhalte Ende-zu-Ende verschlüsselt sind, erhält auch dieser Dienstleister keinen Zugriff auf deine Klartext-Inhalte.

6. Speicherdauer

Lokale Daten verbleiben bis zur Löschung durch dich auf deinem Gerät. Verschlüsselte Sync-Daten werden gespeichert, bis du sie über die App löschst oder die Synchronisation beendest. Server-Logs werden nur für die zur Sicherheit erforderliche, kurze Dauer aufbewahrt.

7. Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21). Eine Einwilligung (z. B. Cloud-Sync) kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Da wir deine Inhalte nicht entschlüsseln können, kannst du sie jederzeit selbst vollständig löschen. Du hast zudem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde.

8. Kontakt

Für Auskünfte und zur Wahrnehmung deiner Rechte: info@mypep.app