← Zurück zu Vora

Datenschutzerklärung

Letzte Aktualisierung: 6. November 2026

1. Verantwortlicher

Vitalli, Inhaber Mirco Stege, Höllenberg 12, 21441 Garstedt, Deutschland
E-Mail: privacy@vitalli.app · Kontaktformular: vitalli.app/legal/contact
Zuständige Aufsichtsbehörde: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover

2. Erhobene Daten

Kontodaten

  • E-Mail-Adresse, Name, Passwort (bcrypt-gehasht), Profilbild

Gesundheitsdaten (Besondere Kategorie, Art. 9 DSGVO)

  • Gesundheitsprofil (Geburtsdatum, biologisches Geschlecht, Blutgruppe, Größe, Gewicht)
  • Medizinische Erkrankungen (mit ICD-Codes, Diagnosedaten)
  • Medikamente (Dosierung, Häufigkeit, Status)
  • Allergien (Schweregrad, Reaktionen)
  • Familiäre Krankengeschichte
  • Biomarker-Laborwerte und Referenzbereiche
  • Gesundheitsdokumente (Laborergebnisse, Arztbriefe, Rezepte, Bildgebung)
  • Stuhleinträge (Bristol-Skala); Stuhlfotos nur zur Auswertung, sie werden nicht gespeichert
  • Symptom- und Stimmungseinträge, Fastenzeiten, Labortermine samt Vorbereitung, Aufgaben und eigene Zielwerte
  • Importierte Messdaten (CSV); die Originaldatei bewahren wir auf, damit du einen Import zurücknehmen und erneut einspielen kannst. Verbindest du Keto-Mojo (MyMojoHealth), holt Vora deine Glukose- und Ketonwerte dort automatisch ab; dafür speichern wir einen verschlüsselten Zugangsschlüssel, der nur das Lesen deiner Messwerte erlaubt. Beim Trennen und beim Löschen deines Kontos widerrufen wir ihn bei Keto-Mojo

Nutzungsdaten

  • KI-Einblicke und Chat-Konversationen
  • Dokument-Uploads und KI-extrahierte Daten
  • E-Mail-Integrationsdaten (Threads, Anhänge)
  • Ökosystem-übergreifender Zustand (Fasten von Still, Nahrungsergänzung von Stackwell, Ernährungsziel von Joiva)

3. Rechtsgrundlage

Standarddaten: Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung. Gesundheitsdaten: Art. 9 Abs. 2 lit. a DSGVO – deine ausdrückliche Einwilligung. Diese Einwilligung umfasst ausdrücklich die KI-Verarbeitung durch Anthropic in den USA (siehe 5.). Die Analyse der Nutzung mit Gesundheitsbezug (siehe 5.) beruht ebenfalls auf deiner Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und ist freiwillig.

Widerruf: Die Einwilligung in die Verarbeitung deiner Gesundheitsdaten widerrufst du unter Einstellungen → Daten & Datenschutz; das führt zur Löschung aller deiner Gesundheitsdaten. Die Einwilligung in die Beta-Analyse widerrufst du unabhängig davon in den Einstellungen deines Vitalli-Kontos – jederzeit, ohne Begründung und ohne Nachteil: Ohne sie nutzt du Vora genauso. Der Widerruf wirkt für die Zukunft.

4. Mindestalter

Vora richtet sich an Personen ab 18 Jahren. Wir erheben dafür kein Geburtsdatum; die Bestätigung bei der Registrierung deines Vitalli-Kontos genügt (Datenminimierung).

5. Auftragsverarbeiter und Empfänger

Diese Anbieter verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO). Wo Daten die EU verlassen, geschieht das auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

  • Railway (Region Amsterdam, EU) – Hosting der Anwendung und der Datenbank. Anbieter mit Sitz in den USA; Transfer über Standardvertragsklauseln.
  • Anthropic Ireland, Limited (Dublin, Irland) – die KI hinter Vora, unser Vertragspartner und Auftragsverarbeiter. Dorthin gehen, jeweils nur für die genannte Funktion: hochgeladene Befunde, Arztbriefe und Rezepte sowie Befund-Anhänge angebundener Gesundheitsmails, im Klartext und ungeschwärzt (mit allem, was darauf steht, auch Name, Geburtsdatum und Adresse; die Datei löschen wir bei Anthropic direkt nach dem Auslesen); für Gesundheits-Chat, Erklärungen und Mailentwürfe dein Gesundheitsprofil mit Alter statt Geburtsdatum, Erkrankungen, Medikamente, Allergien, Familiengeschichte, Laborwerte, Fasten-, Nahrungsergänzungs- und Wearable-Daten aus dem Vitalli-Verbund sowie deine Chat-Nachrichten; Stuhlfotos, wenn du ausdrücklich „Stuhlfoto“ wählst (Vora speichert sie nicht); zur Einordnung von Gesundheitsmails die Absender-Domain, der Betreff und ein gekürzter Text mit unkenntlich gemachten E-Mail-Adressen und Telefonnummern; für Mailentwürfe an Praxen die Aufgabe ohne deinen Namen, den Namen der Praxis und deren E-Mail-Adresse (Platzhalter, die Vora erst nach der Antwort einsetzt); deine Antworten auf Nachfragen zu Aufgaben; beim Import von Messdaten Spaltennamen und einige Beispielzeilen ohne Spalten mit Name, E-Mail, Geburtsdatum oder Kennungen; für die Suche nach Adresse und E-Mail einer Praxis deren Name und Ort (Websuche über Anthropic). Verarbeitet wird auch außerhalb der EU, insbesondere in den USA: durch das verbundene Unternehmen Anthropic, PBC und durch Cloud-Anbieter, die Anthropic als Unterauftragsverarbeiter einsetzt. Diese Übermittlung stützt sich auf die EU-Standardvertragsklauseln aus Anthropics Auftragsverarbeitungsvertrag (Art. 46 Abs. 2 lit. c DSGVO). Anthropic nutzt API-Daten laut eigenen kommerziellen Bedingungen nicht zum Training und löscht Ein- und Ausgaben innerhalb von 30 Tagen. Eine hochgeladene Datei bleibt dort, bis wir sie löschen, und das tun wir direkt nach dem Auslesen. Länger aufbewahrt wird nur, wenn Anthropics Prüfsysteme einen Verstoß gegen Anthropics Nutzungsrichtlinien erkennen (dann bis zu 2 Jahre) oder ein Gesetz es verlangt. Grundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Dorthin kann auch dein Feedback gehen: der Feedback-Text und – wenn du im Feedback-Fenster einen Screenshot ausdrücklich zulässt – auch dieses Bild. Das Häkchen ist leer vorbelegt; ein Screenshot zeigt, was gerade auf deinem Bildschirm steht, also möglicherweise Befunde.
  • Cloudflare (R2-Objektspeicher und Netz-Proxy) – verschlüsselte Speicherung deiner Dokumente und TLS-Terminierung aller Aufrufe. Anbieter mit Sitz in den USA; der Speicherort der Dokumente ist nicht auf die EU festgelegt. Transfer über Standardvertragsklauseln.
  • Google – Gmail-Anbindung deines Postfachs (nur wenn du sie verbindest; dann liest Vora medizinische Mails und deren Anhänge und versendet Mails über dein Konto; trennst du das Postfach oder löschst dein Konto, widerrufen wir den Zugang bei Google) und Google Places für die Adresssuche von Arztpraxen: Dabei gehen der Name der Ärztin, des Arztes oder der Praxis aus deinen Befunden und, falls bekannt, der Ort an Google – nicht dein Name und keine Gesundheitswerte; die Anfrage stellt unser Server. Transfer über Standardvertragsklauseln.
  • Microsoft – Outlook-Anbindung deines Postfachs (nur wenn du sie verbindest; dann liest Vora medizinische Mails und deren Anhänge und versendet Mails über dein Konto). Transfer über Standardvertragsklauseln.
  • Uptik (Vitalli, gehostet bei Railway in der EU/Amsterdam) – Nutzungsanalyse auf unserem Server: welche Seiten und Funktionen genutzt werden, Fehler, grobe Geräteangaben (Browser, Betriebssystem, Gerätetyp, Sprache) und die Herkunftsseite (nur Domain). Keine Gesundheitswerte, keine Dokumentinhalte, keine Dateinamen, keine IP-Adresse, keine Cookies, kein Speichern auf deinem Gerät. Ohne deine Einwilligung senden wir nur technisch Notwendiges: Anmeldung, Registrierung, Kontolöschung, Fehler und eine Seitenzählung – bei gesundheitsbezogenen Seiten ohne den Pfad. Bei Anmeldung und Registrierung reist deine E-Mail-Adresse mit, damit das Konto dort zugeordnet werden kann; bei allen anderen Ereignissen nicht. Ereignisse mit Gesundheitsbezug (z. B. dass du einen Befund hochgeladen oder ein Symptom erfasst hast) senden wir nur mit deiner Einwilligung aus den Einstellungen deines Vitalli-Kontos. Inhalte werten wir nie aus, nur dass und wann etwas passiert ist.
  • IdeaQ (Vitalli, gehostet bei Railway in der EU) – Feedback-Funktion. Deine Meldung geht vom Server von Vora an IdeaQ; in deinem Browser wird dafür nichts gespeichert. Bist du angemeldet, trägt die Meldung eine pseudonyme Melder-Kennung, die aus deinem Vitalli-Konto berechnet wird – kein Name, keine E-Mail-Adresse –, damit du unter „Meine Meldungen“ den Stand siehst und einmal den Hinweis bekommst, wenn dein Punkt behoben ist; dass du den Hinweis gesehen hast, wird am Vorgang in IdeaQ vermerkt. Ohne Anmeldung trägt die Meldung nur eine zufällige Einmal-Kennung, die keiner Person zugeordnet ist. Ein Screenshot der Seite wird nur angehängt, wenn du im Feedback-Fenster das Häkchen dafür ausdrücklich setzt – es ist leer vorbelegt, weil ein Screenshot in Vora Befunde zeigen kann. Ob Screenshots gerade angenommen werden, zeigt das Feedback-Fenster an. Übertragen werden außerdem dein Feedbacktext, die Seite, Fenstergröße und Browser sowie Fehlermeldungen, die der Browser seit dem Laden der Seite aufgezeichnet hat. Text und Screenshot können zur Einordnung an Anthropic (USA) gehen; Screenshots liegen im R2-Objektspeicher von Cloudflare, dessen Speicherort nicht auf die EU festgelegt ist. Feedback-Vorgänge und Screenshots werden nicht automatisch gelöscht, sondern bleiben bis zur Löschung durch den Projektinhaber. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG für das Auslesen von Seite, Fenstergröße und Fehlermeldungen beim Absenden, Art. 6 Abs. 1 lit. f DSGVO für den Feedback-Text und die Melder-Kennung; für den Screenshot allein deine Einwilligung (Art. 6 Abs. 1 lit. a und, soweit das Bild Gesundheitsdaten zeigen kann, Art. 9 Abs. 2 lit. a DSGVO) – nicht „berechtigtes Interesse“, denn das Häkchen ist die Einwilligung.
  • Vitalli-Apps Andere Teile des Vitalli-Verbunds (Still, Stackwell, Joiva, der Vitalli-Hub, das Vitalli-Konto und der MCP-Zugang) – wenn du sie nutzt, holen sie über abgesicherte Schnittstellen Daten aus Vora. Zweckgebunden sind: Nierenwerte für Joivas Trinkziel, deine Stuhleinträge der letzten Tage für Joivas Essensplanung und Stackwells Wechselwirkungsprüfung, Stuhl- und Symptomeinträge der letzten 60 Tage für Joivas Mustersuche. Der Vitalli-Hub und der MCP-Zugang können darüber hinaus auf Voras vollständige Datenschnittstelle zugreifen – Biomarker, Stuhl, Stimmung, Symptome, Erkrankungen, Gesundheitsprofil und die Angaben zu deinen Dokumenten (Titel, Datum, Art und die herausgelesenen Werte – nicht die Dateien selbst, für die es dort keinen Weg gibt); diese Schnittstelle ist nicht je Aufrufer eingeschränkt. Das Vitalli-Konto ruft keine Daten ab, sondern löst die Löschung aus, wenn du dein Konto löschst. Umgekehrt liest Vora Fasten, Nahrungsergänzung und Ernährungsziel. Betreiber ist in allen Fällen Vitalli, Inhaber Mirco Stege – es verlässt niemand den Verantwortlichen, aber die Daten verlassen Vora. Grundlage ist deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO; nutzt du die andere App nicht, findet die Übermittlung nicht statt.
  • Stackwell-Ablage Stackwell legt Symptome und Erkrankungen, die du dort erfasst, in Vora ab, und liest deine Symptome von hier. Das geschieht nur mit deiner Einwilligung „Stackwell legt deine Symptome und Erkrankungen in Vora ab“. Diese Einwilligung holt dein Vitalli-Konto zentral ein, getrennt von anderen Zwecken und mit Fassung und Zeitpunkt; Vora fragt dafür nicht noch einmal. Vor jeder Annahme prüft Vora sie beim Vitalli-Konto. Fehlt sie oder ist sie gerade nicht prüfbar, nimmt Vora nichts von Stackwell an und legt auch kein Konto an. Du widerrufst sie in deinem Vitalli-Konto unter „Einwilligungen“, einzeln und jederzeit. Nach einem Widerruf werden die Einträge nicht automatisch gelöscht, sondern für Stackwell gesperrt. In Vora bleiben sie für dich sichtbar, und du kannst sie hier jederzeit löschen. Für alles, was Vora selbst mit deinen Gesundheitsdaten tut, insbesondere die KI-Auswertung, gilt weiter deine Einwilligung in Vora (siehe 3.). Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO.
  • KI-Assistenten (z. B. Claude Desktop) – nur wenn du einen Zugang anlegst. Der Assistent liest dann über den Vitalli-MCP-Zugang deine Gesundheitsdaten aus Vora und kann Werte schreiben. Wir haben mit dem Anbieter des Assistenten keinen Vertrag und können seine Nutzung der Daten nicht beschränken; sie richtet sich allein nach seinen Bedingungen. Grundlage ist deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO; ohne Zugang gibt es keine Übermittlung.

6. Speicherdauer der Analyse-Ereignisse

Analyse-Ereignisse speichern wir zwei Jahre. Löschst du dein Vitalli-Konto, werden die Ereignisse anonymisiert: Die Verbindung zu dir wird in allen Feldern gelöscht und lässt sich nicht wiederherstellen. Es bleibt eine Zählung ohne Personenbezug.

7. Deine Rechte (Art. 15–21 DSGVO)

  • Auskunft, Berichtigung, Löschung (Art. 17), Einschränkung, Datenübertragbarkeit, Widerspruch
  • Einwilligung jederzeit widerrufen (siehe 3.)
  • Beschwerde bei einer Aufsichtsbehörde – zuständig ist die oben genannte

8. Datensicherheit

Alle Daten werden verschlüsselt übertragen (TLS) und verschlüsselt gespeichert; Dokumente mit AES-256. Eine Ende-zu-Ende-Verschlüsselung ist das nicht: Für die KI-Auswertung werden deine Dokumente an Anthropic (USA) übertragen und dort im Klartext verarbeitet. Der Zugriff auf Gesundheitsdaten erfordert eine angemeldete Sitzung.

9. Datenspeicherung

Deine Daten bleiben gespeichert, solange dein Konto besteht. Bei einer Kontolöschung werden sie dauerhaft gelöscht: zuerst deine Dateien im Objektspeicher (hochgeladene Dokumente, Mail-Anhänge und Import-Dateien), danach die Datenbankzeilen kaskadierend. Den Zugang zu einem verbundenen Gmail-Postfach widerrufen wir vorher bei Google. Im Zugriffsprotokoll wird die Nutzerkennung entfernt. Anonym ist es damit nicht: IP-Adresse, Zeitstempel und die Angaben zur geänderten Zeile bleiben stehen.

10. Cookies

Diese Cookies setzt Vora, und keiner davon braucht eine Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG – wir fragen dich deshalb auch nicht danach: für Anmeldung und Sitzung `__Host-authjs.csrf-token` und `__Secure-authjs.callback-url` (auf jeder Seite, Sitzungsdauer) sowie `authjs.session-token`, sobald du angemeldet bist; beim Start einer Anmeldung zusätzlich `__Secure-authjs.state` und `__Secure-authjs.pkce.code_verifier` (kurzlebig, sie sichern den Rückweg gegen Unterschiebung); für den Zwischenschritt beim Verbinden eines Postfachs `oauth-state` (10 Minuten); ebenso beim Verbinden von Keto-Mojo `keto-mojo-oauth` (10 Minuten); für dein erteiltes Einverständnis `vora-consent` (90 Tage); für einen von dir weggeklickten Hinweis zum Vitalli-Ökosystem `vora-ecosystem-hint` (1 Jahr); für die von dir gewählte Sprache `vora-locale` (1 Jahr, nur wenn du die Sprache umstellst). Die letzten drei halten eine Entscheidung fest, die du selbst getroffen hast, sie sind keine Sitzungscookies. Keine Tracking- oder Werbe-Cookies. Die Nutzungsanalyse läuft vollständig auf unserem Server und speichert nichts auf deinem Gerät. Im localStorage deines Browsers liegen, jeweils nur auf diesem Gerät und ohne Übertragung an uns: ein von dir weggeklickter Hinweis zur Postfach-Anbindung (`vora-email-tip-dismissed`), die gewählte Sprache (`vora-locale`), die Position des Schnellmenüs (`vora.wheel.anchor`) und deine letzten Suchbegriffe je Bereich (`vora.recent-searches.*`, höchstens acht, du kannst sie in der Suche löschen). Im sessionStorage, der beim Schließen des Tabs verfällt, liegen der Zustand des Gesundheits-Chats (`vora:chat-open`, `vora:active-conversation`) und beim Anmelden in der installierten App ein Zwischenschritt der Anmeldung (`vitalli-pwa-relay-v2`).

Kontakt: privacy@vitalli.app