Datenschutzerklärung

Stand: 21. Juni 2026

Wir nehmen den Schutz deiner Daten ernst. In dieser Datenschutzerklärung erklären wir transparent, welche Daten wir verarbeiten, wofür wir sie nutzen und welche Rechte du hast. Wenn du Fragen hast, melde dich jederzeit bei uns.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

bloomnow (in Gründung als bloomnow FlexCo)
vertreten durch Anna Christine Enzinger
Unter Bregarten 22/1
2482 Münchendorf, Österreich
E-Mail: ace@bloomnow.ai

Sobald die bloomnow FlexCo im Firmenbuch eingetragen ist, geht die Verantwortlichkeit auf die FlexCo über. Wir aktualisieren diese Erklärung dann entsprechend.

2. Datenschutzbeauftragte

Roxane Hunot, Mitgründerin von bloomnow, ist intern für alle Datenschutzanliegen zuständig.

E-Mail: rh@bloomnow.ai

Du kannst dich mit allen Fragen zur Verarbeitung deiner Daten direkt an sie wenden.

3. Allgemeine Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Website und unserer Leistungen sowie zur Erfüllung gesetzlicher Pflichten erforderlich ist. Eine Verarbeitung erfolgt nur auf einer der folgenden Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO:

  • lit. a (Einwilligung)
  • lit. b (Vertragserfüllung oder vorvertragliche Maßnahmen)
  • lit. c (Erfüllung einer rechtlichen Verpflichtung)
  • lit. f (Wahrung berechtigter Interessen)

Bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten) verarbeiten wir Daten ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO.

4. Verarbeitungstätigkeiten im Einzelnen

4.1 Aufruf der Website (Server-Logs)

Beim Besuch unserer Website erfasst unser Hosting-Anbieter automatisch technische Daten, die dein Browser übermittelt:

  • IP-Adresse (gekürzt bzw. anonymisiert, soweit technisch möglich)
  • Datum und Uhrzeit der Anfrage
  • Aufgerufene Seite oder Datei
  • Verwendeter Browser und Betriebssystem
  • Referrer-URL

Diese Daten werden zur technischen Bereitstellung der Website, zur Stabilität, Sicherheit und zur Abwehr von Angriffen verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Server-Logs werden nach maximal 30 Tagen gelöscht.

4.2 Cookies und Consent-Management

Wir verwenden auf unserer Website Cookies, also kleine Textdateien, die in deinem Browser gespeichert werden. Wir unterscheiden:

  • Technisch notwendige Cookies, die für die Funktion der Website erforderlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
  • Optionale Cookies (z. B. für Web-Analyse oder eingebettete Inhalte), die nur mit deiner Einwilligung gesetzt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Optionale Cookies (insbesondere für Web-Analyse und Reichweitenmessung sowie für die Messung von Werbeerfolg) setzen wir erst, nachdem du über unseren Cookie-Banner eingewilligt hast. Wir verwenden dafür kein Tool eines Drittanbieters, sondern eine eigene, schlanke Consent-Lösung in Kombination mit dem Google Consent Mode v2. Bis zu deiner Einwilligung bleiben analyse- und werbebezogene Speicherzugriffe (insbesondere Cookies) deaktiviert; Google-Dienste werden in diesem Zustand nur ohne Cookies und ohne Wiedererkennung ausgeführt.

Deine Auswahl speichern wir lokal in deinem Browser (localStorage), damit der Banner nicht bei jedem Besuch erneut erscheint. Du kannst eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Footer jeder Seite widerrufen oder anpassen. Der Widerruf ist genauso einfach wie die Erteilung.

4.3 Web-Analyse und Marketing (Google-Dienste)

Auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) setzen wir folgende Dienste der Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irland; Mutterkonzern Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) ein. Du kannst die Einwilligung jederzeit über die „Cookie-Einstellungen" im Footer widerrufen.

Google Tag Manager. Wir nutzen den Google Tag Manager, um die nachfolgenden Tags (Skripte) verwaltet auszuspielen. Der Tag Manager selbst setzt keine Cookies und erfasst keine personenbezogenen Daten zu Analysezwecken; er steuert lediglich das einwilligungsbasierte Laden der anderen Dienste.

Google Analytics 4. Wir verwenden Google Analytics 4, um zu verstehen, wie unsere Website genutzt wird (z. B. aufgerufene Seiten, Verweildauer, ungefähre Herkunft sowie Geräte- und Browser-Informationen). Dabei werden ein pseudonymer Kennwert (Client-ID) sowie deine gekürzte IP-Adresse verarbeitet; eine direkte Zuordnung zu deiner Person nehmen wir nicht vor. Wir betreiben Google Analytics mit aktivierter IP-Kürzung und ohne Verknüpfung mit anderen Datenquellen.

Google Ads (Conversion-Tracking und Remarketing). Wir messen den Erfolg unserer Werbeanzeigen (z. B. ob nach einem Anzeigenklick eine Anmeldung erfolgt) und können auf dieser Basis Werbung ausspielen. Hierzu können von Google Cookies gesetzt werden, sofern du eingewilligt hast.

Die durch diese Dienste erhobenen Daten können in die USA übermittelt werden. Hierfür stützen wir uns auf den EU-US Data Privacy Framework (Google LLC ist zertifiziert) sowie ergänzend auf Standardvertragsklauseln nach Art. 46 DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Google unter policies.google.com/privacy.

4.4 Vormerkung für den Launch

Die bloomnow-App befindet sich in einer geschlossenen Beta. Wenn du dich für den Launch vormerkst, verarbeiten wir folgende Daten, um dich über den öffentlichen Start von bloomnow zu informieren und dir die Bestätigung zukommen zu lassen:

  • Name (optional)
  • E-Mail-Adresse
  • Sprachpräferenz (Deutsch oder Englisch)
  • Zeitpunkt der Anmeldung

Nach der Vormerkung erhältst du eine Bestätigungs-E-Mail. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst deine Vormerkung jederzeit per Nachricht an rh@bloomnow.ai widerrufen. Nach dem Widerruf löschen wir deine Daten innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Für die Verwaltung der Vormerkungen speichern wir die Daten in unserer Datenbank bei Supabase (Serverstandort Frankfurt, EU); die Bestätigungs-E-Mail versenden wir über unseren Auftragsverarbeiter Resend Inc. (USA). Mehr zu beiden Anbietern findest du in Abschnitt 6.

Zusätzlich halten wir zu jeder Vormerkung fest, über welchen Weg sie zustande kam (etwa die Kategorie der verweisenden Seite oder ein anonymer Kampagnen-Code aus einem Tracking-Link) sowie das ungefähre Herkunftsland (nur der zweistellige Ländercode, ohne Speicherung der IP-Adresse). Diese Angaben werten wir ausschließlich in Summe aus, um zu verstehen, welche Kanäle funktionieren. Rechtsgrundlage ist unser berechtigtes Interesse an einer wirksamen Reichweitenmessung nach Art. 6 Abs. 1 lit. f DSGVO.

4.5 Eingebettete Videos und Social Embeds

Auf unserer Website sind YouTube-Videos eingebettet (z. B. Vorstellungsvideos und Stimmen aus unserem Beirat). Bei Klick auf das Video-Vorschaubild laden wir den YouTube-Player nach und dein Browser stellt eine Verbindung zu den Servern von YouTube her und überträgt dabei technische Daten, mindestens deine IP-Adresse.

Anbieter und mögliche Drittlandstransfers:

  • YouTube: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; Mutterkonzern Google LLC, USA

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du durch den Klick auf das Vorschaubild erteilst. Bei Übermittlungen in die USA stützen wir uns auf den EU-US Data Privacy Framework, sofern der jeweilige Anbieter dort zertifiziert ist, und ergänzend auf Standardvertragsklauseln nach Art. 46 DSGVO.

4.6 Kommunikation per E-Mail

Wenn du uns eine E-Mail schreibst, etwa an beta@bloomnow.ai, ace@bloomnow.ai oder rh@bloomnow.ai, verarbeiten wir die in der Nachricht enthaltenen personenbezogenen Daten zur Bearbeitung deines Anliegens.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen oder Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).

E-Mails werden gelöscht, sobald der Anlass der Kommunikation entfallen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4.7 Eigene, cookielose Reichweitenmessung

Um zu verstehen, wie viele Menschen unsere Website besuchen und über welche Kanäle sie zu uns finden, führen wir eine eigene, schlanke Reichweitenmessung durch. Bei jedem Seitenaufruf speichern wir in unserer Datenbank bei Supabase (Serverstandort Frankfurt, EU) einen anonymen Datensatz: die aufgerufene Seite, die Kategorie der verweisenden Quelle (z. B. Suchmaschine, soziales Netzwerk oder ein anonymer Kampagnen-Code aus einem Tracking-Link) sowie das ungefähre Herkunftsland.

Diese Messung kommt ohne Cookies und ohne Wiedererkennung über Besuche hinweg aus. Wir setzen keine Kennungen, erstellen keine Nutzerprofile und speichern keine IP-Adresse: Das Herkunftsland wird von unserem Hosting-Anbieter (Vercel) aus der IP-Adresse abgeleitet und uns nur als zweistelliger Ländercode übergeben; die IP-Adresse selbst verarbeiten wir dafür nicht weiter. Es entstehen ausschließlich anonyme Summenstatistiken, ein Rückschluss auf deine Person ist nicht möglich. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung nach Art. 6 Abs. 1 lit. f DSGVO.

4.8 bloomie-Chat auf der Website

Über das bloomie-Fenster auf unserer Website kannst du Fragen zu bloomnow stellen. Deine Chat-Eingaben werden zur Beantwortung an unseren Auftragsverarbeiter Mistral AI (Frankreich, Verarbeitung in der EU; siehe Abschnitt 6.2) übermittelt und zusammen mit den Antworten in unserer Datenbank bei Supabase (Serverstandort Frankfurt, EU) gespeichert, damit ein laufendes Gespräch fortgesetzt werden kann. Deine Eingaben werden nicht zum Training von KI-Modellen verwendet. bloomie ist als KI gekennzeichnet, beantwortet ausschließlich Fragen rund um bloomnow, stellt keine Diagnosen und trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung (Art. 22 DSGVO). Zum Schutz vor Missbrauch speichern wir pro Chat-Sitzung statt deiner IP-Adresse nur einen gesalzenen, nicht auf dich rückführbaren Prüfwert (Hash). Wenn du uns freiwillig Name und E-Mail-Adresse hinterlässt, um von unserem Team kontaktiert zu werden, verarbeiten wir diese zur Beantwortung deiner Anfrage. Bitte gib im Chat keine Gesundheitsdaten oder andere besonders sensiblen Informationen ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung deiner Anfrage und am sicheren Betrieb); soweit du uns aktiv kontaktierst, Art. 6 Abs. 1 lit. b DSGVO.

5. Datenverarbeitung in der bloomnow App

Die folgenden Verarbeitungen betreffen die bloomnow App (iOS, Android, Web-App). Alle App-Daten werden in unserer Datenbank bei Supabase am Serverstandort Frankfurt (AWS eu-central-1) innerhalb der EU gespeichert.

5.1 Konto und Profil

Bei der Registrierung verarbeiten wir deine E-Mail-Adresse, deinen Namen und optional ein Profilbild. Die Anmeldung ist per E-Mail/Passwort oder über Google OAuth (Google LLC, USA) möglich; bei Google-Anmeldung erhalten wir die bei Google hinterlegte E-Mail-Adresse und den Namen. Für die Community kannst du einen Alias und einen separaten Community-Avatar verwenden, sodass dein Klarname dort nicht sichtbar sein muss.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: bis zur Löschung deines Kontos.

5.2 App-Einstellungen

Deine Einstellungen (z. B. Farbmodus, Sprache, Textgröße, Benachrichtigungs-Präferenzen) speichern wir, um sie geräteübergreifend bereitzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Selbstfürsorge-Funktionen (Gesundheitsdaten)

Wenn du Funktionen wie das Stimmungstagebuch (Stimmung, Schlafqualität, Tags, Notizen), Erfolge („Wins") oder gemerkte Tools nutzt, verarbeiten wir die von dir eingegebenen Inhalte. Diese Angaben können Rückschlüsse auf deine Gesundheit zulassen und sind damit besondere Kategorien personenbezogener Daten (Art. 9 DSGVO).

Rechtsgrundlage: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst, durch Löschen der Inhalte oder deines Kontos in der App.

5.4 Fragebögen und Selbsttests

Die App bietet Fragebögen (z. B. zur Familiensituation) und ein ADHS-orientiertes Selbst-Screening an. Wir speichern deine Antworten und die daraus berechneten Ergebnisse, um dir passende Inhalte zu empfehlen und deine Ergebnisse anzuzeigen. Die Tests sind keine Diagnose-Instrumente und ersetzen keine fachliche Abklärung. Angaben können sich dabei auch auf dein Kind beziehen; diese werden ausschließlich von dir als Erziehungsberechtigte/r eingegeben; Kinder haben keinen eigenen Zugang zur App.

Rechtsgrundlage: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du vor dem ersten Fragebogen erteilst und jederzeit widerrufen kannst.

5.5 bloomie (KI-Assistent)

bloomie ist ein KI-gestützter Assistent. Deine Chat-Eingaben werden zur Beantwortung an unseren Auftragsverarbeiter Mistral AI (Frankreich, Verarbeitung in der EU) übermittelt und zusammen mit den Antworten als Gesprächsverlauf in deinem Konto gespeichert, damit du frühere Gespräche fortsetzen kannst. Deine Eingaben werden nicht zum Training von KI-Modellen verwendet. bloomie ist in der App ausdrücklich als KI gekennzeichnet, stellt keine Diagnosen und trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung (Art. 22 DSGVO). Gesprächsverläufe kannst du in der App löschen; mit der Kontolöschung werden sie vollständig entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit du gesundheitsbezogene Inhalte eingibst, deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

5.6 Community und Direktnachrichten

Beiträge, Kommentare und Reaktionen in der Community sind für andere angemeldete Nutzer:innen sichtbar (unter deinem Community-Alias, sofern gesetzt). Direktnachrichten sind nur für dich und die jeweilige Empfängerin / den jeweiligen Empfänger sichtbar. Wir speichern diese Inhalte, bis du sie oder dein Konto löschst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.7 Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen aktivierst, speichern wir einen Geräte-Token und versenden Nachrichten über Firebase Cloud Messaging (Google LLC, USA; Übermittlung auf Basis des EU-US Data Privacy Framework und von Standardvertragsklauseln). Du kannst Push jederzeit in der App oder in den Systemeinstellungen deaktivieren; der Token wird bei Kontolöschung entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5.8 Termine, Erinnerungen und Anfahrtszeit

Mit der Termin-Funktion kannst du Termine und Erinnerungen anlegen, sie auch per Sprache diktieren oder aus einem Foto bzw. Screenshot erkennen lassen, und dir eine Tagesübersicht („Jetzt & Als Nächstes") anzeigen lassen. Die dabei eingegebenen Inhalte (Titel, Datum, Uhrzeit, Ort, Notizen) speichern wir in deinem Konto. Sprach- und Bilderkennung werten wir ausschließlich aus, um daraus einen Termin zu erstellen; die Verarbeitung erfolgt auf unserer EU-Infrastruktur (Supabase, Frankfurt) bzw., soweit dabei KI eingesetzt wird, über den in Abschnitt 5.5 genannten Auftragsverarbeiter.

Wenn du für einen Termin die Anfahrtszeit berechnen lässt, übermitteln wir die Ortsangabe des Termins an zwei europäische Kartendienste: Photon (betrieben von der Komoot GmbH, Deutschland) zur Geokodierung, also der Umwandlung der Adresse in Koordinaten, und Valhalla (bereitgestellt vom FOSSGIS e. V. auf Basis von OpenStreetMap, Deutschland) zur Routen- und Fahrzeitberechnung. Übertragen werden nur die für die Berechnung nötigen Ortsdaten, ohne Nutzerkennung und ohne Verknüpfung mit deinem Konto. Die Verarbeitung findet innerhalb der EU statt; ein Drittlandtransfer erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); die Berechnung der Anfahrtszeit erfolgt nur auf deine Veranlassung.

5.9 Nutzungs- und Absturzanalyse (optional)

Zur Verbesserung der App können wir auswerten, wie die App genutzt wird, und technische Abstürze diagnostizieren, jedoch ausschließlich, wenn du dem aktiv zustimmst. Ohne deine Zustimmung ist die Analyse deaktiviert (Standard); es wird dann nichts erhoben. Du kannst die Zustimmung jederzeit im Profil widerrufen; die Erfassung wird dann sofort gestoppt. Erfasst werden ausschließlich pseudonyme Nutzungsereignisse und Geräte-/App-Metadaten, keine Inhalte deiner Einträge oder Gespräche. Wir setzen dafür drei voneinander getrennte Bausteine ein, die wir hier bewusst getrennt ausweisen:

  • Produkt- und Nutzungsanalyse (PostHog). Um zu verstehen, wie die App genutzt wird (z. B. welche Tools geöffnet werden, Onboarding-Schritte, Verlauf im Kauf-Funnel), nutzen wir PostHog in der EU-Cloud (Verarbeitung in der EU-Region über eu.i.posthog.com). Erhoben werden nur pseudonyme Nutzungs-Events sowie pseudonyme Geräte- und App-Metadaten. Es werden keine personenbezogenen Klardaten (PII), keine Werbe- oder Cross-App-IDs übermittelt; es findet kein Session-Replay und kein automatisches Mitschneiden von Interaktionen (Autocapture) statt. Da PostHog in der EU-Region verarbeitet, findet kein Drittlandtransfer statt.
  • Absturzdiagnose (Firebase Crashlytics). Für Absturzberichte nutzen wir Firebase Crashlytics (Google LLC, USA; Übermittlung auf Basis des EU-US Data Privacy Framework und von Standardvertragsklauseln). Firebase wird nicht mehr für die Nutzungsanalyse eingesetzt; Google Analytics 4 bzw. Firebase Analytics kommen in der App nicht mehr zum Einsatz.
  • Eigene Ereignis-Statistik (Eigenbetrieb). Unabhängig von PostHog betreiben wir auf unserer eigenen EU-Infrastruktur (Supabase, Serverstandort Frankfurt) eine schlanke, selbst verantwortete Ereignis-Statistik. Diese ist technisch und organisatorisch von PostHog getrennt – das eine wird nicht durch das andere abgedeckt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5.10 Beta-Test

Während der Beta-Phase verarbeiten wir zusätzlich: (a) dein Beta-Feedback (Inhalt, Zeitpunkt, App-Version), um die App zu verbessern, und (b) deine Zustimmung zu den Beta-Teilnahmebedingungen (Zeitpunkt und Textversion), um die Erteilung der Zustimmung nachweisen zu können (Art. 7 Abs. 1 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Nachweis- und Verbesserungsinteresse).

5.11 Datenexport und Kontolöschung

Beide Rechte kannst du direkt in der App ausüben (Profil → „Daten exportieren" bzw. „Konto löschen"). Der Export wird dir als maschinenlesbare Datei an deine verifizierte Konto-E-Mail-Adresse gesendet (Versand über unseren Auftragsverarbeiter Resend Inc., USA). Die Kontolöschung entfernt sofort und unwiderruflich alle deine Daten aus unserer Datenbank, einschließlich Profil, Tagebuch- und Testdaten, Gesprächsverläufen, Community-Inhalten und Direktnachrichten. Restbestände in verschlüsselten Backups laufen nach der Backup-Aufbewahrungsfrist automatisch aus. Als Nachweis der Löschung speichern wir ausschließlich einen anonymen, nicht auf dich rückführbaren Prüfwert (Hash) mit Zeitstempel.

6. Hosting und Subprozessoren

6.1 Hosting

Unsere Website wird über Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) bereitgestellt und über deren europäische Edge-Standorte ausgeliefert. Wir haben mit Vercel einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Da Vercel ein US-Unternehmen ist, stützen wir die Datenübermittlung ergänzend auf den EU-US Data Privacy Framework sowie auf Standardvertragsklauseln nach Art. 46 DSGVO.

Die Backend-Infrastruktur unserer App (Datenbank, Authentifizierung, Speicher) wird auf Supabase betrieben (Supabase Inc., 970 Toa Payoh North, Singapur), mit Serverstandort Frankfurt im AWS-Rechenzentrum eu-central-1. Personenbezogene Daten unserer App-Nutzer:innen werden ausschließlich innerhalb der EU gespeichert. Wir haben mit Supabase einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Da Supabase eine US-Muttergesellschaft hat, stützen wir die Datenverarbeitung ergänzend auf den EU-US Data Privacy Framework sowie auf Standardvertragsklauseln nach Art. 46 DSGVO.

6.2 Übersicht über Subprozessoren

Wir setzen folgende Auftragsverarbeiter ein:

  • Vercel Inc. (USA): Website-Hosting und Auslieferung über europäische Edge-Standorte
  • Supabase Inc. (Singapur, Serverstandort EU/Frankfurt): Datenbank, Authentifizierung und Speicher für die App sowie für die Launch-Vormerkungen der Website
  • Google Ireland Ltd. (Irland): Google Tag Manager, Google Analytics 4 und Google Ads für Web-Analyse und Werbeerfolgsmessung (nur nach Einwilligung)
  • PostHog (EU-Cloud, EU-Region): Produkt- und Nutzungsanalyse in der App (nur nach Einwilligung; keine PII, kein Werbe-Tracking, kein Session-Replay; siehe Abschnitt 5.9)
  • Mistral AI (Frankreich, Verarbeitung in der EU): KI-Modell für bloomie, den KI-Assistenten in der App (siehe Abschnitt 5.5)
  • Komoot GmbH / Photon (Deutschland): Geokodierung von Ortsangaben für die Anfahrtszeit-Funktion der App (nur auf deine Veranlassung; siehe Abschnitt 5.8)
  • FOSSGIS e. V. / Valhalla (Deutschland, auf Basis von OpenStreetMap): Routen- und Fahrzeitberechnung für die Anfahrtszeit-Funktion der App (nur auf deine Veranlassung; siehe Abschnitt 5.8)
  • Dynatrace (EU-Region): technische Überwachung und Fehlerdiagnose unserer Server-Funktionen (Observability/Tracing), um Stabilität und Performance sicherzustellen; verarbeitet werden ausschließlich technische Telemetrie-Metadaten (Funktionsname, Aufrufmethode, Antwortstatus, Fehlermeldungen), keine Inhalte deiner Eingaben, keine Gesundheitsdaten und keine IP-Adresse
  • Resend Inc. (USA): Transaktions-E-Mails aus der App sowie Bestätigungs-E-Mails für die Launch-Vormerkung
  • Firebase / Google LLC (USA): Push-Benachrichtigungen (Cloud Messaging) und Absturzdiagnose (Crashlytics) für die App
  • Google LLC (USA): Google OAuth für die optionale Anmeldung in der App

Mit allen Auftragsverarbeitern haben wir Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.

7. Drittlandstransfers

Eine Übermittlung deiner Daten in Drittländer (außerhalb der EU bzw. des EWR) findet nur statt, wenn dies für die Erbringung der gewünschten Leistung notwendig ist, etwa bei eingebetteten Inhalten von US-Anbietern, und du dem zugestimmt hast oder eine andere Rechtsgrundlage besteht.

In diesen Fällen stützen wir uns auf:

  • den EU-US Data Privacy Framework (für entsprechend zertifizierte US-Anbieter) oder
  • Standardvertragsklauseln nach Art. 46 DSGVO mit ergänzenden technischen und organisatorischen Maßnahmen.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweilige Verarbeitung erforderlich ist oder eine gesetzliche Aufbewahrungspflicht besteht:

  • Vormerkung für den Launch: bis zum öffentlichen App-Launch und maximal 6 Monate danach, sofern kein Account erstellt wird; Widerruf jederzeit möglich, anschließend Löschung innerhalb von 30 Tagen
  • App-Daten: solange dein Account besteht; bei Kontolöschung werden alle deine Daten sofort und kaskadierend aus unserer Datenbank gelöscht; Restbestände verbleiben nur in verschlüsselten Backups bis zum Ablauf der Backup-Aufbewahrungsfrist unseres Hosting-Anbieters
  • Server-Logs: maximal 30 Tage
  • E-Mail-Kommunikation: bis zur Erledigung des Anliegens, maximal 3 Jahre danach
  • Buchhaltungs- und steuerrelevante Daten: gemäß gesetzlicher Aufbewahrungspflichten (in Österreich i. d. R. 7 Jahre)

9. Deine Rechte

Du hast jederzeit folgende Rechte gegenüber uns:

  • Recht auf Auskunft nach Art. 15 DSGVO: Wir teilen dir mit, welche Daten wir über dich gespeichert haben.
  • Recht auf Berichtigung nach Art. 16 DSGVO: Du kannst unrichtige Daten korrigieren lassen.
  • Recht auf Löschung nach Art. 17 DSGVO: Du kannst die Löschung deiner Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Dein Konto und alle zugehörigen Daten kannst du jederzeit selbst löschen, auch ohne die App, unter bloomnow.ai/konto-loeschen.
  • Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO
  • Recht auf Datenübertragbarkeit nach Art. 20 DSGVO: Du erhältst deine Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
  • Recht auf Widerspruch nach Art. 21 DSGVO: Gegen Verarbeitungen, die auf berechtigtem Interesse beruhen, kannst du jederzeit Widerspruch einlegen.
  • Recht auf Widerruf einer Einwilligung nach Art. 7 Abs. 3 DSGVO: Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Auskunft bzw. Datenübertragbarkeit und Löschung kannst du außerdem direkt in der App ausüben: Profil → „Daten exportieren" bzw. „Konto löschen" (siehe Abschnitt 5.11).

Eine kurze E-Mail an rh@bloomnow.ai reicht aus. Wir antworten dir innerhalb der gesetzlichen Frist von einem Monat.

10. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Auffassung bist, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt. Für uns zuständig ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
www.dsb.gv.at

Du kannst dich auch an die Aufsichtsbehörde deines Wohnsitzes oder Arbeitsplatzes wenden.

11. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten zu schützen, insbesondere Verschlüsselung bei Übertragung (TLS) und Speicherung, Zugriffsbeschränkungen innerhalb des Teams, vertragliche Verschwiegenheitspflichten sowie regelmäßige Sicherheits-Reviews.

12. Automatisierte Entscheidungsfindung

Unsere App enthält mit bloomie einen KI-gestützten Assistenten (siehe Abschnitt 5.5). Es finden jedoch keine automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO statt, weder durch bloomie noch an anderer Stelle in der App. Empfehlungen und Inhalte dienen ausschließlich deiner Information und Unterstützung.

13. Verarbeitung besonderer Datenkategorien (Gesundheitsdaten)

bloomnow richtet sich an Familien neurodivergenter Kinder. Gesundheitsbezogene Daten zählen zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und unterliegen einem besonderen Schutz.

Solche Daten verarbeiten wir ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Das betrifft insbesondere die Selbstfürsorge-Funktionen (z. B. Stimmungstagebuch), Fragebögen und Selbsttests sowie gesundheitsbezogene Inhalte, die du bloomie mitteilst; Details findest du in den Abschnitten 5.3 bis 5.5. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, etwa durch Löschen der jeweiligen Inhalte oder deines Kontos in der App.

14. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, etwa wenn wir neue Funktionen einführen oder sich Rechtslage oder eingesetzte Tools ändern. Bei wesentlichen Änderungen informieren wir dich aktiv, z. B. per E-Mail an angemeldete Nutzer:innen. Die jeweils aktuelle Version ist immer auf bloomnow.ai abrufbar.

15. Kontakt

Für alle Fragen zum Datenschutz kannst du dich jederzeit an uns wenden:

Roxane Hunot
Datenschutzbeauftragte
rh@bloomnow.ai

Allgemeine Anfragen: beta@bloomnow.ai