Datenschutzerklärung „Levamio Pflegegrad-Lotse“ (App für iOS und Android)

1. Verantwortlicher

NEXTLEVEL CORPORATE SERVICE PROVIDER - FZCO, Building A1, IFZA Business Park, Dubai Digital Park, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate (DIEZ License No. 67837), vertreten durch Tassilo Peter Seitz. Levamio ist ein Angebot der NEXTLEVEL CORPORATE SERVICE PROVIDER - FZCO (im Folgenden „wir“).
E-Mail für Datenschutzfragen und die Ausübung Ihrer Rechte: [email protected] (allgemeiner Support: [email protected])

Vertreter in der EU (Art. 27 DSGVO): Wir sitzen nicht in der EU. Mit allen Anliegen zum Datenschutz können Sie sich jederzeit direkt an uns wenden.
Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist derzeit nicht benannt. Ansprechpartner ist der Verantwortliche unter der oben genannten Adresse.

2. Das Wichtigste in Kürze

Sie brauchen kein Konto. Wir kennen weder Ihren Namen noch Ihre E-Mail-Adresse.
Ihr Pflegetagebuch bleibt auf Ihrem Gerät – verschlüsselt. Wir erhalten es nicht und können es nicht einsehen. Tagebuch, Übersicht, Checkliste und PDF-Export funktionieren ohne Internet und ohne KI.
Nur wenn Sie eine KI-Funktion nutzen (genauere Zuordnung von Einträgen, Erklärung eines Bescheids), wird Text an unseren Server und unseren KI-Anbieter Anthropic (USA) gesendet – erst nach Ihrer ausdrücklichen Einwilligung und zusätzlich nach Ihrer Bestätigung jedes einzelnen Vorgangs, bei der Sie den zu sendenden Text vorher sehen.
Vor jedem Versand ersetzt die App Namen und Kennungen durch Platzhalter (Pseudonymisierung).
Wir speichern gesendete Texte nicht auf unserem Server. Fotos, Tonaufnahmen oder Dateien werden nie gesendet.
Kein Tracking, keine Werbung, keine Analyse-Tools.

3. Überblick: Was wir verarbeiten, wofür, auf welcher Grundlage

Zweck	Daten	Rechtsgrundlage
Pflegetagebuch, Übersicht, Checkliste, Termin, hinterlegte Namen, gespeicherte Erklärungen (nur auf Ihrem Gerät)	Ihre Einträge (Datum, Text, Zuordnung zu Bereichen), Termin, Checkliste, Namen für die Pseudonymisierung, Bescheid-Erklärungen und Entwürfe	Wir verarbeiten diese Daten nicht; sie liegen nur auf Ihrem Gerät. Speicherung auf dem Gerät: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst)
KI-Zuordnung von Tagebuch-Einträgen (optional)	pseudonymisierter Text der ausgewählten Einträge (höchstens 40 Einträge der letzten 30 Tage, ohne Einträge mit selbst gewählter Zuordnung), Datum der Einträge, zufällige Eintrags-Kennung, Einwilligungsangaben	Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, auch für Gesundheitsdaten); Art. 6 Abs. 1 lit. b DSGVO (Funktion, die Sie aufrufen)
Erklärung eines Schreibens der Pflegekasse / eines Gutachtens (optional)	pseudonymisierter, von Ihnen eingefügter und ggf. gekürzter Text des Schreibens, Einwilligungsangaben	wie vorstehend
Gratis-Kontingent, Missbrauchs- und Kostenschutz	zufällige Gerätekennung (in der App erzeugt, keine Hardware-Kennung); auf dem Server nur ein gesalzener Hashwert mit Zählern; IP-Adresse (IPv6 auf /64 gekürzt), auf dem Server nur als täglich neu gesalzener Hashwert mit Zähler	Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Kosten); Gerätekennung auf dem Gerät: § 25 Abs. 2 Nr. 2 TDDDG
Geräteprüfung für Gratis-Vorgänge (Attestierung)	iOS: Attestierungsobjekt und Schlüsselkennung von Apple App Attest; Android: Play-Integrity-Token, das unser Server zur Prüfung an Google sendet; einmalige Prüf-Challenge	Art. 6 Abs. 1 lit. f DSGVO
Meldung eines KI-Ergebnisses	Grund, optionaler Kommentar, technische Angaben (Prompt-Version, Modell, Funktion, Sprache, App-Version); keine Inhalte	Art. 6 Abs. 1 lit. f DSGVO (Produktsicherheit, Pflicht der Stores für KI-Inhalte)
Abo prüfen und freischalten (nur bei Bedarf, Ziffer 8)	zufällige Gerätekennung als Kunden-ID bei RevenueCat, Abo-Status, Kaufbelege, Produkt, Land des Stores, Geräte- und App-Angaben	Art. 6 Abs. 1 lit. b DSGVO
Betrieb und Fehlersuche	technische Kennzahlen ohne Inhalt, ohne Kennung und ohne IP-Adresse (Funktion, Ergebnisart, Dauer, Anzahl Einträge, Tokenzahl, Anzahl ersetzter Kennungen, Regel-Eingriffe), Stichprobe von etwa 10 %	Art. 6 Abs. 1 lit. f DSGVO
Support	Ihre Nachricht, E-Mail-Adresse, ggf. Angaben zum Abo	Art. 6 Abs. 1 lit. b DSGVO, sonst lit. f

Eine Pflicht zur Bereitstellung besteht nicht. Ohne Einwilligung bleibt die App mit allen Funktionen außer den KI-Funktionen nutzbar. Wir treffen keine automatisierten Einzelentscheidungen (Art. 22 DSGVO). Die App berechnet oder prognostiziert keinen Pflegegrad. Wir verkaufen Ihre Daten nicht und nutzen sie nicht für Werbung.

4. Gesundheitsdaten und Daten der gepflegten Person

Ein Pflegetagebuch und Schreiben der Pflegekasse enthalten Gesundheitsdaten (Art. 9 DSGVO), meist über die pflegebedürftige Person, die nicht selbst die App nutzt.

Auf Ihrem Gerät führen Sie das Tagebuch für eigene, familiäre Zwecke; wir sind daran nicht beteiligt.
Für die KI-Funktionen verarbeiten wir die Daten auf Grundlage einer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Vor der ersten Nutzung bestätigen Sie mit einem eigenen Kästchen, dass Sie selbst die pflegebedürftige Person sind oder mit ihrem Einverständnis, als Bevollmächtigte/r oder als rechtliche Betreuerin bzw. rechtlicher Betreuer handeln. Ohne diese Bestätigung lehnt auch unser Server jeden KI-Vorgang ab. Bitte nutzen Sie die KI-Funktionen nur, wenn das zutrifft, und informieren Sie die gepflegte Person nach Möglichkeit über diese Datenschutzerklärung.
Datenminimierung: Die App ersetzt vor jedem Versand die von Ihnen unter „Mehr → Namen ausblenden“ hinterlegten Namen sowie erkannte Kennungen (z. B. „Herr/Frau …“, Versicherten- und Rentenversicherungsnummer, IBAN, Telefon, E-Mail, Geburtsdatum, Anschrift, Postleitzahl mit Ort, Aktenzeichen) durch Platzhalter wie „[Person 1]“. Die Zuordnung der Platzhalter bleibt nur im Arbeitsspeicher Ihres Geräts; Antworten setzt die App lokal wieder zurück. Unser Server ersetzt zusätzlich verbliebene direkte Kennungen vor der Weitergabe. Die Erkennung ist automatisiert und nicht lückenlos; Freitext kann weiterhin Hinweise auf eine Person enthalten. Deshalb sehen Sie den Text vor dem Senden und können ihn kürzen. Pseudonymisierte Daten bleiben personenbezogene Daten.

5. KI-Funktionen im Einzelnen

Einwilligung in zwei Stufen: (1) Vor der ersten Nutzung zeigt die App einen eigenen Hinweis, welche Daten an wen gesendet werden, dass wir nichts auf dem Server speichern und dass Gesundheitsdaten betroffen sind. Erst wenn Sie das Einwilligungskästchen, das Kästchen zur Vertretung (Ziffer 4) und das Kästchen „Ich bin mindestens 16 Jahre alt.“ anhaken, sind KI-Funktionen freigeschaltet. Zum Speichern bei Anthropic heißt es dort: „Wir speichern den Text nicht. Anthropic speichert die Anfrage nach eigenen Angaben bis zu 30 Tage zur Missbrauchserkennung (länger nur, wenn ein Verstoß gegen die Nutzungsrichtlinien festgestellt wird) und nutzt sie nicht zum Training.“ (2) Vor jedem einzelnen Vorgang zeigt die App genau den Text, der gesendet würde, und verlangt ein weiteres Häkchen. Ohne diese Bestätigungen lehnt unser Server die Anfrage ab.

Ablauf:

Die App pseudonymisiert den Text auf Ihrem Gerät (Ziffer 4) und sendet ihn verschlüsselt (HTTPS) an unseren Server, einen Cloudflare Worker.
Der Server prüft Format und Länge (Einträge höchstens 2.000 Zeichen, insgesamt höchstens 30.000 Zeichen), Ihre Einwilligungsangaben, das Gratis-Kontingent bzw. Ihr Abo und die Nutzungsgrenzen, für Gratis-Vorgänge die Geräteprüfung (Ziffer 7), und ersetzt verbliebene direkte Kennungen.
Er leitet den Text mit der Aufgabe an Anthropic (Anthropic PBC, USA, Sprachmodell „Claude“) weiter. Ist das Modell überlastet oder die Antwort unbrauchbar, wird die Anfrage einmal an ein anderes Claude-Modell desselben Anbieters gesendet.
Die Antwort geht an Ihre App zurück: bei der Zuordnung die Bereiche/Punkte je Eintrag und ggf. ein kurzer Hinweis, welches Detail für den Termin fehlt; bei Schreiben eine Erklärung, der im Schreiben festgestellte Pflegegrad (wörtlich), die Frist als wörtliches Zitat, Prüfpunkte und – bei einem Bescheid – ein Widerspruchs-Entwurf. Der Server entfernt dabei Aussagen, die einen Pflegegrad vorhersagen oder Erfolgsaussichten bewerten, und selbst berechnete Fristdaten.

Keine Speicherung bei uns: Unser Server speichert weder den gesendeten Text noch die Antwort; beides wird nur im Arbeitsspeicher für die Dauer der Anfrage verarbeitet. Protokolle enthalten nur technische Kennzahlen ohne Inhalt und ohne Kennung. Ergebnisse speichert nur Ihre App, verschlüsselt auf Ihrem Gerät.

Bei Anthropic: Anthropic verarbeitet die Anfrage als unser Auftragsverarbeiter nach den kommerziellen Bedingungen und dem Data Processing Addendum von Anthropic. Nach den derzeitigen Angaben von Anthropic werden Daten aus der API nicht zum Training verwendet und bis zu 30 Tage zur Missbrauchserkennung gespeichert; länger nur, wenn ein Verstoß gegen die Nutzungsrichtlinien festgestellt wird (nach Angaben von Anthropic dann bis zu 2 Jahre) oder eine gesetzliche Pflicht besteht. Auf diese Speicherung haben wir keinen Einfluss. Verarbeitungsort sind die USA (Ziffer 10).

KI-Kennzeichnung und Grenzen: KI-Ergebnisse sind in der App als „KI-generiert“ gekennzeichnet, KI-gestützte Zuordnungen im PDF als solche markiert (Art. 50 KI-Verordnung). Sie können falsch oder unvollständig sein. Die App ist kein Medizinprodukt, stellt keine Diagnose, gibt keine Therapie- oder Pflegeempfehlung und ersetzt keine Rechtsberatung; für Ihren Einzelfall hilft die kostenlose Pflegeberatung nach § 7a SGB XI oder ein Pflegestützpunkt.

Widerruf: Sie können Ihre Einwilligung jederzeit unter „Mehr → Einwilligung widerrufen“ mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Danach sendet die App nichts mehr. Auf unserem Server liegen von früheren Vorgängen keine Inhalte.

6. Daten auf Ihrem Gerät

Tagebuch, Profil (Termin, Checkliste, hinterlegte Namen), Erklärungen und Entwürfe liegen in der lokalen Datenbank der App (IndexedDB), verschlüsselt mit AES-GCM-256. Der Schlüssel liegt im iOS-Schlüsselbund (nur auf diesem Gerät, ohne iCloud-Synchronisation) bzw. im Android Keystore; unter Android sind Cloud-Datensicherung und Geräteübertragung für die App abgeschaltet. Bei Verlust oder Wechsel des Geräts sind die Daten nicht wiederherstellbar – sichern Sie wichtige Einträge als PDF.
Einstellungen: Sprache, Anzeigeoptionen, Zeitpunkt und Version Ihrer Einwilligung, Zahl der genutzten Gratis-Vorgänge, die zufällige Gerätekennung (unter „Mehr → Geräte-Kennung“ sichtbar).
Diktat: Die App nimmt keinen Ton auf und hat keine Mikrofon-Berechtigung. Nutzen Sie das Mikrofon Ihrer Tastatur, verarbeitet die Spracherkennung Ihres Betriebssystems bzw. Ihrer Tastatur-App den Ton nach deren Bedingungen (teils online beim Anbieter, z. B. Apple oder Google).
Bescheid-Text: Fotos lädt die App nicht hoch. Wenn Sie Text mit „Live Text“ (iOS) oder Google Lens (Android) kopieren, geschieht die Texterkennung durch Ihr System bzw. die jeweilige App.
Teilen, Kopieren, PDF: Nur wenn Sie es auslösen, gibt die App Text bzw. PDF an die von Ihnen gewählte App oder Zwischenablage weiter; PDFs liegen dafür höchstens 60 Sekunden im Cache der App.

Löschen: einzelne Einträge/Erklärungen in der App, „Mehr → Alle Daten löschen“ (Daten und Schlüssel) oder Deinstallation. Die Gerätekennung bleibt bis zur Deinstallation erhalten.

7. Gratis-Kontingent, Missbrauchsschutz und Geräteprüfung

Die App erzeugt eine zufällige Gerätekennung (keine Hardware- oder Werbe-ID), die mit jedem KI-Vorgang und jeder Meldung gesendet wird. Unser Server speichert sie nur als gesalzenen Hashwert mit Zählern im Speicher von Cloudflare (Durable Objects):

Ratenlimit (derzeit höchstens 8 KI-Vorgänge je 10 Minuten und 40 je Tag): 15 Minuten bis 2 Tage;
Gratis-Kontingent (derzeit 3 KI-Vorgänge je Gerät): 400 Tage;
Prüf-Challenge: 15 Minuten; Zwischenspeicher des zuletzt bestätigten Abo-Status: 24 Stunden.

IP-Adresse: Gratis-Vorgänge gibt es höchstens 6-mal je Internetanschluss und Tag. Dafür speichert der Server nur einen täglich neu gesalzenen Hashwert Ihrer IP-Adresse (IPv6 auf /64 gekürzt) mit Zähler für 2 Tage, nicht die IP-Adresse selbst. Zusätzlich gibt es eine Tageshöchstzahl für alle Gratis-Vorgänge insgesamt.

Geräteprüfung: Gratis-Vorgänge gibt es nur, wenn die App die Geräteprüfung besteht: unter iOS Apple App Attest, unter Android Google Play Integrity (unser Server sendet das Prüf-Token zur Auswertung an Google). Apple bzw. Google verarbeiten dabei Daten zu Gerät und App nach ihren eigenen Bedingungen als eigene Verantwortliche; dabei können Daten in die USA übermittelt werden. Wir speichern nur, dass die Challenge verbraucht ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die faire Verteilung des Gratis-Kontingents und der Schutz vor Missbrauch und unverhältnismäßigen Kosten. Ein Vorgang, bei dem kein Pflegeschreiben erkannt bzw. kein Eintrag zugeordnet wird, zählt nicht.

7a. Ergebnis melden

Über „Ergebnis melden“ melden Sie uns ein falsches, unangemessenes oder gefährliches KI-Ergebnis. Gesendet werden Grund, Ihr freiwilliger Kommentar (bitte ohne Namen oder Gesundheitsangaben) und technische Angaben. Inhalte (Tagebuch, Schreiben, KI-Ergebnis) werden nie gesendet; unser Server lehnt Inhalte ab. Speicherung in Workers KV bei Cloudflare ohne Gerätekennung und ohne IP-Adresse, automatische Löschung nach 90 Tagen. Gerätekennung und IP-Adresse nutzt der Server nur gehasht zur Begrenzung (höchstens 10 je Gerät und 30 je Anschluss und Tag). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

8. Abo und Käufe

Abos schließen Sie im Apple App Store bzw. bei Google Play ab; Zahlung, Rechnung, Kündigung und Erstattung wickelt der Store als eigener Verantwortlicher ab. Wir erhalten keine Zahlungsdaten. Zur Abo-Verwaltung nutzen wir RevenueCat (RevenueCat, Inc., USA) als Auftragsverarbeiter (zufällige Gerätekennung als Kunden-ID, Kaufbelege, Abo-Status, Produkt, Preis, Land des Stores, technische Angaben, IP-Adresse). Nur bei Bedarf: Die App verbindet sich erst mit RevenueCat, wenn Sie die Abo-Seite öffnen, kaufen oder wiederherstellen, oder wenn Ihr Gratis-Kontingent verbraucht bzw. ein Abo bekannt ist; unser Server fragt RevenueCat nur in diesen Fällen. Dabei kann bei RevenueCat ein Kundendatensatz angelegt werden. Gesundheitsdaten erhält RevenueCat nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Prüfung, ob ein Abo besteht, lit. f.

9. Speicherdauer

Gesendete Texte und KI-Antworten auf unserem Server: keine Speicherung (nur während der Anfrage).
Bei Anthropic: nach derzeitigen Angaben bis zu 30 Tage, länger nur bei festgestelltem Verstoß oder gesetzlicher Pflicht (Ziffer 5).
Hashwerte und Zähler: wie in Ziffer 7; danach automatische Löschung (technisch ggf. bis zu 30 Tage rekonstruierbar bei Cloudflare).
Meldungen: 90 Tage. Technische Kennzahlen/Logs: höchstens 7 Tage.
Abo-Daten bei RevenueCat: solange das Abo besteht und danach nach gesetzlichen Aufbewahrungspflichten.
Daten auf Ihrem Gerät: bis Sie sie löschen oder die App deinstallieren. Support-Anfragen: bis zu 3 Jahre.

10. Empfänger und Drittländer

Dienst	Zweck	Sitz / Verarbeitung	Garantie
Cloudflare	Server (Worker), Zähler (Durable Objects), Meldungen (Workers KV), Protokolle	Cloudflare, Inc., USA; weltweit	Auftragsverarbeitungsvertrag; DPF bzw. SCC
Anthropic	KI-Funktionen	Anthropic PBC, USA	Data Processing Addendum; DPF bzw. SCC
RevenueCat	Abo-Verwaltung	RevenueCat, Inc., USA	Auftragsverarbeitungsvertrag; DPF bzw. SCC
Apple / Google	App-Vertrieb, Käufe, Geräteprüfung, Systemfunktionen (Tastatur-Diktat, Live Text, Teilen)	Irland / USA	eigene Verantwortliche; DPF bzw. SCC

USA: Angemessenheitsbeschluss EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist; sonst Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Maßnahmen (Pseudonymisierung vor Versand, Verschlüsselung bei der Übertragung, keine Speicherung bei uns). Ihre Einwilligung umfasst ausdrücklich die Übermittlung an Anthropic in die USA (Art. 49 Abs. 1 lit. a DSGVO ergänzend, soweit kein Angemessenheitsbeschluss greift; Risiko: möglicher Zugriff US-amerikanischer Behörden ohne gleichwertigen Rechtsschutz).
VAE: Wir als Verantwortliche sitzen in den VAE (kein Angemessenheitsbeschluss). Tagebuch- und Schreibinhalte gelangen nicht in unsere Systeme in den VAE, weil wir sie nicht speichern; Meldungen enthalten keine Inhalte.

11. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) und Widerruf der Einwilligung (Art. 7 Abs. 3). Widerspruchsrecht: Soweit wir Daten nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen; ein formloser Hinweis an [email protected] genügt.

Bei uns liegen zu Ihnen nur Hashwerte mit Zählern und – bei Abos – Daten bei RevenueCat vor. Für Auskunft oder Löschung nennen Sie uns die Geräte-Kennung aus „Mehr → Geräte-Kennung“ (Art. 11 DSGVO). Die Daten auf Ihrem Gerät verwalten Sie selbst. Diese Rechte stehen auch der gepflegten Person zu; da wir keine Inhalte speichern, können wir zu ihr in der Regel keine Daten zuordnen.

Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere im EU-/EWR-Staat Ihres gewöhnlichen Aufenthalts.

12. Kinder

Die KI-Funktionen dürfen erst ab 16 Jahren genutzt werden (vgl. Art. 8 DSGVO); Bestätigung mit eigenem Kästchen, sonst lehnt der Server ab. Wir erheben wissentlich keine Daten von Kindern.

13. Sicherheit

Verschlüsselte Übertragung (HTTPS), Pseudonymisierung vor Versand, Vorschau und Einzelbestätigung je Vorgang, keine Speicherung von Inhalten auf dem Server, serverseitige Ersetzung verbliebener Kennungen, Anweisung an die KI, Inhalte nur als Daten zu behandeln, Prüfung der KI-Antwort gegen ein festes Schema und Entfernung von Prognose-Aussagen, gesalzene Hashwerte statt Kennungen und IP-Adressen, Geräteprüfung für Gratis-Vorgänge, Notabschaltung der KI-Funktionen, verschlüsselte Ablage auf dem Gerät mit Schlüssel im Schlüsselbund bzw. Keystore, keine Cloud-Datensicherung unter Android.

14. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder die Rechtslage ändern. Bei Änderungen, die Ihre Einwilligung betreffen, fragt die App erneut. Aktuelle Fassung in der App und unter https://levamio.com/apps/pflege/datenschutz.

Stand: 20.10.2026