Datenschutz­erklärung

1 · Verantwortlicher und Kontakt

Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO für die Verarbeitung personenbezogener Daten im Zusammenhang mit dieser Website und den Apps von Q Systems ist:

• [Vollständiger Name / Firmenwortlaut]
• [Rechtsform]
• [Straße und Hausnummer], [PLZ] [Ort], Österreich
• Firmenbuchnummer: [FN, Firmenbuchgericht]
• UID-Nummer: [ATU…]
• Telefon: [Telefonnummer]
• Marke: Q Systems
• Apple Developer Team ID: VVDVNMA57K

Für alle Fragen zum Datenschutz und für die Ausübung deiner Rechte schreib bitte an privacy@q-systems.app. Allgemeiner Support läuft über hello@q-systems.app. Du bekommst auf beiden Wegen eine Antwort von derselben Person — Q Systems ist ein Einzelentwickler-Projekt.

Kein Datenschutzbeauftragter

Q Systems hat keinen Datenschutzbeauftragten bestellt. Art. 37 (1) DSGVO verlangt eine Bestellung nur in drei Fällen: bei Behörden und öffentlichen Stellen (lit. a), wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von betroffenen Personen besteht (lit. b), oder wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO besteht. § 5 DSG regelt in Österreich ergänzend die Stellung, Verschwiegenheitspflicht und das Zeugnisverweigerungsrecht des Datenschutzbeauftragten, begründet aber keine über Art. 37 DSGVO hinausgehende Bestellpflicht.

Nach unserer Einschätzung liegt keiner der drei Fälle vor:

• lit. a: Q Systems ist keine Behörde und keine öffentliche Stelle.
• lit. b: Wir überwachen niemanden. Es gibt kein Tracking, keine Analytics-SDKs, keine Profilbildung und keine Nutzerkonten.
• lit. c: Skinmetrics verarbeitet Gesundheitsdaten im Sinne von Art. 9 (1) DSGVO. Diese Verarbeitung findet jedoch auf dem Gerät der Nutzerin oder des Nutzers und — soweit eine KI-Analyse angefordert wird — bei Google statt. Q Systems selbst speichert diese Daten weder zentral noch dauerhaft und hat keinen Zugriff darauf. Gemessen an den Kriterien in Erwägungsgrund 91 DSGVO (Zahl der betroffenen Personen, Datenvolumen, Dauer und geografische Reichweite der Verarbeitung durch den Verantwortlichen) beurteilen wir die Verarbeitung derzeit nicht als „umfangreich".

2 · Geltungsbereich und Grundprinzip

Diese Datenschutzerklärung gilt für

• diese Website ([Domain der Website]) und
• die iOS-App Skinmetrics.

Die allgemeinen Abschnitte gelten für alles. Was die einzelne App konkret verarbeitet, steht in ihrem eigenen Kapitel weiter unten. Bei Widersprüchen geht das App-Kapitel dem Allgemeinteil vor.

Was für Skinmetrics gilt

• Kein Nutzerkonto, kein Login, keine zentrale Nutzerdatenbank. Wir wissen nicht, wer du bist, und können es auch nicht herausfinden.
• Keine Analytics-, Crash- oder Tracking-SDKs. Kein Firebase, kein Sentry, kein Crashlytics, kein Mixpanel, kein PostHog, kein Amplitude, kein RevenueCat.
• Keine Werbung. Derzeit wird in Skinmetrics keine Werbung ausgeliefert.
• Alle App-Inhalte liegen lokal in der Datenbank der App auf deinem Gerät. Es gibt keine iCloud- oder CloudKit-Synchronisation.

Wohin Daten trotzdem gehen — ehrlich

Ein pauschales „alles bleibt auf deinem Gerät" wäre falsch. Richtig ist:

• Skinmetrics sendet die von dir aufgenommenen Haut- und Gesichtsfotos zusammen mit deinen Profilangaben — darunter Gesundheitsdaten — an Google, um die KI-Analyse zu erzeugen. Ohne diese Übermittlung funktioniert die Analyse nicht. Verläufe, Notizen und Profil bleiben lokal auf deinem Gerät.

Die Einzelheiten — welche Felder genau, auf welcher Rechtsgrundlage, mit welcher Einwilligung — stehen im Kapitel zu Skinmetrics. Die beteiligten Empfänger und die Drittlandsfrage behandelt der Abschnitt Empfänger und Übermittlung in Drittländer.

Zielgruppe

Skinmetrics richtet sich an Erwachsene. Wir bieten keine Kinder-App an und verarbeiten nicht wissentlich Daten von Kindern. Sollte uns bekannt werden, dass uns Daten eines Kindes zugegangen sind, löschen wir sie.

3 · Diese Website

Hosting bei GitHub Pages

Diese Website ist eine rein statische Seite und wird über GitHub Pages ausgeliefert, einen Dienst der GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA (Tochterunternehmen der Microsoft Corporation). Gegenüber Nutzerinnen und Nutzern im EWR tritt nach der Datenschutzerklärung von GitHub auch die GitHub B.V. (Niederlande) als Verantwortliche auf.

Es gibt keinen eigenen Server, keine serverseitigen Skripte, keine Datenbank, kein Kontaktformular und keine Kommentarfunktion. Die Seite besteht aus HTML, CSS und — soweit vorhanden — JavaScript, das ausschließlich im Browser läuft. Schriften sind Systemschriften; es werden keine Google Fonts, keine externen Bibliotheken, keine externen Bilder und keine Analyse- oder Werbedienste nachgeladen.

Welche Daten GitHub beim Aufruf verarbeitet

Wenn du diese Seite aufrufst, baut dein Browser technisch bedingt eine Verbindung zu den Servern von GitHub auf. Dabei wird deine IP-Adresse übertragen. GitHub schreibt dazu in seiner Dokumentation zu GitHub Pages wörtlich:

Nach der allgemeinen Datenschutzerklärung von GitHub werden dabei typischerweise verarbeitet: IP-Adresse, Geräteinformationen, Sitzungsdaten, Datum und Uhrzeit der Anfrage, Gerätetyp, Betriebssystem und Anwendungsversion sowie die aufgerufenen Seiten.

Speicherdauer: GitHub nennt für diese Server-Protokolle keine konkrete Aufbewahrungsfrist. Die allgemeine Datenschutzerklärung beschränkt sich auf die Aussage, personenbezogene Daten würden so lange aufbewahrt, wie es für den jeweiligen Zweck, zur Erfüllung vertraglicher und gesetzlicher Pflichten sowie zur Rechtsverfolgung erforderlich ist. Eine Frist in Tagen oder Monaten wird nicht veröffentlicht. Wir geben hier bewusst keine Zahl an, die wir nicht belegen können.

Auslieferung über ein Content Delivery Network: GitHub Pages wird über ein CDN ausgeliefert. Bei Abrufen aus Österreich antwortet nach unserer Prüfung ein Edge-Knoten in Wien; die Verbindung wird also physisch in der EU terminiert. Das ändert nichts daran, dass GitHub, Inc. als US-Unternehmen Zugriff auf die Protokolle hat.

Rolle von GitHub und Rechtsgrundlage

Wir betreiben die Seite über einen kostenlosen GitHub-Account. GitHub verarbeitet die genannten Protokolldaten für eigene Sicherheitszwecke und tritt insoweit als eigenständig Verantwortlicher auf, nicht als unser Auftragsverarbeiter. In der Datenschutzerklärung von GitHub heißt es dazu, GitHub, Inc. bzw. GitHub B.V. verarbeite als „Data Controller", wenn du mit Websites, Anwendungen und Diensten von GitHub interagierst.

GitHub bietet zwar ein Data Protection Agreement (Auftragsverarbeitungsvertrag) an. Dieses ist jedoch ausdrücklich Bestandteil der GitHub Customer Agreement und setzt ein „written and executed agreement" voraus — es gilt also für vertraglich gebundene Organisations- und Enterprise-Kunden, nicht für einen kostenlosen persönlichen Account. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht zwischen Q Systems und GitHub daher nicht.

Rechtsgrundlage für die Bereitstellung der Website in dieser Form ist unser berechtigtes Interesse nach Art. 6 (1) f DSGVO an einem stabilen, sicheren und kostengünstig betriebenen Webauftritt. Ohne die Übermittlung der IP-Adresse ist eine Auslieferung der Seite technisch nicht möglich. Zur Übermittlung in die USA siehe Empfänger und Übermittlung in Drittländer.

Keine Cookies, kein Cookie-Banner

Diese Website setzt keine Cookies und verwendet weder Local Storage noch Session Storage, Web Beacons, Fingerprinting oder vergleichbare Techniken zu Analyse- oder Werbezwecken.

Wir haben das geprüft:

• Die Auslieferung der Seite über den GitHub-Pages-Host erfolgt ohne Set-Cookie-Header.
• Die Cookie-Liste von GitHub führt github.io nicht auf. Die dort dokumentierten Cookies — darunter das Sitzungs-Cookie _gh_sess — betreffen github.com und weitere GitHub-eigene Domains, auf denen man sich anmelden kann, nicht die Auslieferung statischer Pages-Inhalte.
• Es werden keine Ressourcen von Drittanbietern nachgeladen, die ihrerseits Cookies setzen könnten.

Art. 5 (3) ePrivacy-RL 2002/58/EG, in Österreich umgesetzt in § 165 (3) TKG 2021, verlangt eine Einwilligung nur für das Speichern von Informationen auf dem Endgerät oder den Zugriff auf dort bereits gespeicherte Informationen. Beides findet hier nicht statt. Ein Cookie- oder Consent-Banner ist deshalb nicht erforderlich — nicht, weil wir uns eine Ausnahme zurechtlegen, sondern weil es nichts gibt, wozu eingewilligt werden müsste.

Die bloße Übertragung deiner IP-Adresse beim Verbindungsaufbau fällt nicht unter § 165 (3) TKG 2021, weil dabei nichts auf deinem Gerät gespeichert oder ausgelesen wird. Sie wird ausschließlich nach der DSGVO beurteilt (siehe oben).

Externe Links

Diese Website verlinkt auf externe Seiten, insbesondere auf den App Store von Apple. Sobald du einem solchen Link folgst, gilt die Datenschutzerklärung des jeweiligen Anbieters. Auf deren Inhalt und auf die dortige Verarbeitung haben wir keinen Einfluss.

4 · Kontaktaufnahme per E-Mail

Wenn du uns an hello@q-systems.app oder privacy@q-systems.app schreibst, verarbeiten wir die Angaben, die du uns dabei selbst übermittelst: deine E-Mail-Adresse, den Betreff, den Inhalt deiner Nachricht, etwaige Anhänge sowie technische Kopfzeilen der E-Mail. Was du uns schreibst, entscheidest du.

Zwecke und Rechtsgrundlagen:

• Bearbeitung deiner Anfrage, Support und Kommunikation: berechtigtes Interesse an der Beantwortung von Anfragen, die an uns gerichtet werden, nach Art. 6 (1) f DSGVO.
• Steht die Anfrage im Zusammenhang mit einem Kauf oder Abonnement: Vertragserfüllung bzw. vorvertragliche Maßnahmen nach Art. 6 (1) b DSGVO.
• Bearbeitung von Betroffenenanfragen: rechtliche Verpflichtung nach Art. 6 (1) c DSGVO in Verbindung mit Art. 12 DSGVO.
• Enthält deine Nachricht von dir aus Gesundheitsangaben, stützen wir die Verarbeitung auf deine ausdrückliche Einwilligung nach Art. 9 (2) a DSGVO, die du mit dem Absenden der Nachricht konkludent erteilst und jederzeit widerrufen kannst.

Löschung: Wir löschen die Korrespondenz, sobald sie zur Erfüllung des Zwecks nicht mehr erforderlich ist — bei reinen Support-Anfragen in der Regel spätestens [Frist, z. B. 12 Monate] nach dem endgültigen Abschluss der Sache. Länger bewahren wir E-Mails nur auf, soweit gesetzliche Aufbewahrungspflichten bestehen (etwa § 132 BAO und § 212 UGB: sieben Jahre für Belege und Geschäftsbriefe mit steuerlicher oder buchhalterischer Relevanz) oder soweit die Unterlagen zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.

E-Mail-Anbieter: Unser Postfach wird betrieben bei [Name und Sitz des E-Mail-Anbieters]. Mit diesem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO: [Status des AV-Vertrags bestätigen].

5 · Skinmetrics

Das folgende Kapitel beschreibt, welche Daten Skinmetrics verarbeitet, wo diese liegen und was das Gerät verlässt. Es gibt kein Nutzerkonto und keine Nutzerdatenbank bei uns.

5.1 · Skinmetrics

Skinmetrics verarbeitet sensible Hautdaten — deshalb ist dies der Abschnitt, den du wirklich lesen solltest. Wir sagen dir hier ohne Beschönigung, was auf deinem iPhone bleibt und was dein iPhone verlässt. Die kurze Fassung vorweg: deine Hautfotos und deine Gesundheitsangaben bleiben nicht auf dem Gerät. Sie werden für jede KI-Analyse an Google in die USA übermittelt. Alles Weitere erklären wir unten.

Welche Daten Skinmetrics verarbeitet

Skinmetrics hat kein Nutzerkonto, keinen Login und keine zentrale Nutzerdatenbank. Wir führen keine Nutzerprofile auf einem Server. Alles, was die App erhebt, entsteht auf deinem Gerät:

• Bilder deiner Haut und deines Gesichts — aus Quick Scan und Full Scan (3 Winkel), aus dem täglichen Check-in, aus Face-Captures, Journey-Vorher-Fotos und dem Baseline-Foto.
• Gesundheitsbezogene Angaben aus deinem Profil, teils als Freitext, den du selbst schreibst: Hauttyp, Altersspanne, eigene und familiäre Hautkrebs-Historie (samt Freitextdetails), häufige Sonnenexposition, chronische Hauterkrankungen (samt Details), Kosmetik-Allergien (samt Details), Schwangerschaft und Stillzeit, Hautprobleme und Hautziele, Umweltfaktoren sowie die KI-Ersteinschätzung als Text.
• Verlaufs- und Nutzungsdaten der App: deine Selbstbewertung 1–10, Stimmung, freie Notizen, Skin-Score, Spot-Tracking, Streaks, deine AM/PM-Routine und die von dir gewählten Produkte.
• Kein Standort. Die App speichert lediglich einen groben, von dir selbst gewählten Regionscode wie „EU“ oder „US“, damit die Saisonlogik stimmt. Das ist keine Ortung.

Die Angaben zu Erkrankungen, Allergien, Schwangerschaft und Hautkrebs-Historie sind Gesundheitsdaten. Zusammen mit einem Foto deiner Haut sind das besondere Kategorien personenbezogener Daten Art. 9 Abs. 1 DSGVO. Für solche Daten gilt ein grundsätzliches Verarbeitungsverbot; der EuGH hat dazu festgehalten, dass das Verbot „irrespective of its stated purpose“ greift — also auch bei bester Absicht (EuGH, C-252/21, Rn. 70). Verarbeiten dürfen wir sie nur, wenn eine der eng auszulegenden Ausnahmen des Art. 9 Abs. 2 DSGVO greift (EuGH ebd., Rn. 76: „must be interpreted strictly“).

Wo deine Daten liegen: auf deinem iPhone

• Gespeichert wird lokal in SwiftData. Fotos liegen als .externalStorage-Anhänge daneben, nicht in der Datenbankdatei.
• Auf das Verzeichnis des Datenspeichers setzt die App FileProtectionType.complete. Solange dein iPhone gesperrt ist, sind die Dateien vom System verschlüsselt und nicht lesbar.
• Kein iCloud-Sync, kein CloudKit. Wir synchronisieren nichts zwischen deinen Geräten.
• Die App Group existiert nur, damit die Widgets etwas anzeigen können. In der App Group liegen bewusst nur Skin-Score, Streak und Routinefortschritt — keine Fotos und keine Gesundheitstexte. Das ist eine bewusste Designentscheidung: Widget-Inhalte können auf dem Sperrbildschirm sichtbar sein.
• Keine Analytics-, Crash- oder Werbe-SDKs. Kein Firebase, kein Sentry, kein Crashlytics, kein Mixpanel, kein PostHog, kein Amplitude, kein RevenueCat, kein Ad-SDK. Kein App Tracking Transparency, weil nichts getrackt wird.

Was an Google geht — der kritische Punkt

Für jede KI-Analyse baut die App eine direkte HTTPS-Verbindung zu Google auf, an den Endpunkt https://generativelanguage.googleapis.com/v1beta/models/…:generateContent (Google Gemini API). Verwendet werden die Modelle gemini-3.5-flash (primär), gemini-2.5-flash (Fallback) und gemini-3.1-flash-lite. Es gibt keinen Proxy und keinen Server von uns dazwischen.

Übermittelt wird nicht nur das Bild. Konkret geht Folgendes an Google:

• das Foto, vorher auf maximal 1024 Pixel Kantenlänge verkleinert und als JPEG komprimiert (Qualität 0,8; bei Vergleichsbildern 0,5);
• im Text-Prompt zusätzlich: Altersspanne, Hauttyp, Saison, deine Hautprobleme und -ziele, deine aktuellen Produkte und deine Routine, deine Allergien samt Details, Angaben zu Schwangerschaft und Stillzeit, deine Hautkrebs-Historie und Angaben zu chronischen Hauterkrankungen.

Das heißt im Klartext: Gesundheitsdaten nach Art. 9 DSGVO werden an ein US-Unternehmen übermittelt — bei jedem einzelnen Scan. Nicht übermittelt werden deine freien Notizen aus dem Check-in, deine Stimmungseinträge, deine Streak-Daten und deine gespeicherten Alt-Fotos aus dem Verlauf; die verlassen das Gerät nicht.

Technisch nutzt die App eine URLSessionConfiguration.ephemeral (keine persistenten Caches, Cookies oder Credentials auf dem Gerät) und erzwingt TLS ab Version 1.2. Ein Zertifikats-Pinning auf generativelanguage.googleapis.com ist bewusst nicht gesetzt.

Wie Google diese Daten nutzt: kostenlose gegen bezahlte Stufe

Für die Gemini API unterscheidet Google in seinen Gemini API Additional Terms of Service (Fassung mit Wirkung 23.03.2026) zwei Stufen — und der Unterschied ist für dich fundamental:

• Unpaid Services (kostenlose Stufe). Google nutzt eingereichte Inhalte und die Antworten, „to provide, improve, and develop Google products and services and machine learning technologies“ — also auch zum Training der Modelle. Und ausdrücklich: „human reviewers may read, annotate, and process your API input and output“ — Menschen bei Google können die Inhalte lesen. Google warnt in denselben Bedingungen unmissverständlich: „Do not submit sensitive, confidential, or personal information to the Unpaid Services.“ Ein Auftragsverarbeitungsvertrag existiert für diese Stufe nicht; Google handelt damit faktisch als eigener Verantwortlicher.
• Paid Services (bezahlte Stufe). Hier sagt Google zu: „Google doesn't use your prompts (including associated system instructions, cached content, and files such as images, videos, or documents) or responses to improve our products.“ Es findet kein Training und keine menschliche Prüfung zu Trainingszwecken statt. Google protokolliert Prompts und Antworten nur „for a limited period of time, solely for detecting and preventing violations“ der Nutzungsrichtlinien (Missbrauchserkennung). Eine konkrete Speicherdauer in Tagen nennen die Bedingungen an dieser Stelle nicht — wir geben hier bewusst keine Zahl an, die wir nicht belegen können. Für diese Stufe gilt das Google Data Processing Addendum („Data Processing Addendum for Products Where Google is a Data Processor“), Google ist dort Auftragsverarbeiter Art. 28 DSGVO. „Gemini API Paid Services“ ist in Googles Liste der vom Processor-DPA erfassten Dienste ausdrücklich aufgeführt.

Für den Europäischen Wirtschaftsraum gibt es zwei zusätzliche Klauseln in denselben Bedingungen, die hier den Ausschlag geben:

• „You may use only Paid Services when making API Clients available to users in the European Economic Area, Switzerland, or the United Kingdom.“ — Wer eine App an EWR-Nutzer ausliefert, muss nach Googles eigenen Bedingungen die bezahlte Stufe verwenden.
• „If you're in the European Economic Area, Switzerland, or the United Kingdom, the terms under ‚How Google uses Your Data‘ in ‚Paid Services‘ apply to all Services, including Google AI Studio and unpaid quota in the Gemini API, even though they are offered free of charge.“ — Für Entwickler mit Sitz im EWR gelten die datenschutzfreundlicheren Paid-Bedingungen auch für kostenlos genutztes Kontingent.

Datenstandort. Die Gemini Developer API über generativelanguage.googleapis.com bietet keine EU-Datenresidenz, die wir dir zusichern könnten; wir haben keine Möglichkeit, eine Verarbeitungsregion zu wählen. Eine echte EU-Datenresidenz und Zero-Retention-Optionen bietet Google nur über Vertex AI auf der Google-Cloud-Plattform an — dieser Weg wird von Skinmetrics derzeit nicht genutzt.

Auf welcher Rechtsgrundlage wir das tun

Wir trennen sauber zwischen zwei Ebenen, weil der EuGH das ausdrücklich verlangt: bei besonderen Kategorien braucht es zusätzlich zur Rechtsgrundlage aus Art. 6 eine Ausnahme aus Art. 9 (vgl. C-252/21, Rn. 70, 76, 89, 90).

• Betrieb der App — Bereitstellung von Verlauf, Routine, Streaks, Widgets, Abo-Verwaltung: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Der EuGH legt „erforderlich“ dabei eng aus: Die Verarbeitung muss „objectively indispensable for a purpose that is integral to the contractual obligation“ sein, und dass sie „may be referred to in the contract or may be merely useful“, genügt ausdrücklich nicht (C-252/21, Tenor Nr. 4 und Rn. 99).
• Hautfotos und Gesundheitsangaben, insbesondere deren Übermittlung an Google: Art. 9 Abs. 2 lit. a DSGVO — deine ausdrückliche Einwilligung, in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Ohne diese Einwilligung findet keine KI-Analyse statt.
• Lokale Benachrichtigungen: deine Einwilligung über den iOS-Systemdialog, jederzeit in den iOS-Einstellungen widerrufbar.

Damit die Einwilligung nach Art. 9 Abs. 2 lit. a wirksam ist, muss sie ausdrücklich erklärt werden — eine bloß konkludente Handlung oder ein „Weiter“-Tap genügt nicht. Sie muss informiert sein: du musst wissen, dass Fotos und Gesundheitsangaben an Google in die USA gehen und was Google damit tun darf. Sie muss granular sein: Der EuGH hält fest, dass Einwilligung als nicht freiwillig gilt, „if it does not allow separate consent to be given to different personal data processing operations despite it being appropriate in the individual case“ (C-252/21, Rn. 144 unter Verweis auf ErwGr. 43 DSGVO). Und du kannst sie jederzeit widerrufen, so einfach wie du sie erteilt hast Art. 7 Abs. 3 DSGVO; der Widerruf wirkt für die Zukunft und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt. Die Beweislast für eine wirksame Einwilligung liegt bei uns Art. 7 Abs. 1 DSGVO (so ausdrücklich auch C-252/21, Tenor Nr. 8: „which it is for that operator to prove“).

Harte Paywall, Einwilligung und Koppelungsverbot

Skinmetrics ist nach dem Onboarding ohne Abo nicht nutzbar („harte Paywall“). Und die KI-Analyse — also genau die Verarbeitung, für die wir deine Art.-9-Einwilligung brauchen — ist der Kernzweck der App. Das wirft die Frage auf, ob eine Einwilligung unter diesen Umständen überhaupt freiwillig ist Art. 4 Z 11, Art. 7 Abs. 4 DSGVO.

Ehrliche Einordnung: Der EuGH stellt darauf ab, ob die betroffene Person „has no genuine or free choice or is unable to refuse or withdraw consent without detriment“ (C-252/21, Rn. 143). Art. 7 Abs. 4 DSGVO und die tragende Passage in Rn. 150 des Meta-Urteils knüpfen aber beide ausdrücklich an Verarbeitungen an, die „not necessary for the performance of the contract“ sind. Genau darin liegt der Unterschied zu den bekannten „Pay-or-Okay“-Fällen: Dort soll die Einwilligung in zweckfremde Werbeverarbeitung erkauft werden. Bei Skinmetrics ist die Übermittlung des Fotos an das KI-Modell die vom Nutzer bestellte Leistung selbst — ohne sie gibt es kein Analyseergebnis. Auch die EDSA-Stellungnahme 08/2024 zu „Consent or Pay“ hilft hier nur begrenzt weiter: Sie ist ausdrücklich auf große Online-Plattformen zugeschnitten (so auch das EuG in T-319/24, Rn. 2–3, mit Verweis auf die VLOP-/Gatekeeper-Definitionen aus DSA und DMA) und trifft zur leistungsnotwendigen Verarbeitung weder eine erlaubende noch eine verbietende Aussage. Eine einzelne iOS-App liegt außerhalb ihres Anwendungsbereichs.

Übermittlung in die USA

Google LLC sitzt in den Vereinigten Staaten. Jede Analyse ist damit eine Drittlandübermittlung nach Kapitel V DSGVO. Dafür gibt es eine klare Prüfreihenfolge: zuerst Angemessenheitsbeschluss Art. 45 DSGVO, dann geeignete Garantien Art. 46 DSGVO, und erst ganz zuletzt die Ausnahmen des Art. 49 DSGVO.

• Art. 45 — EU-U.S. Data Privacy Framework. Die Europäische Kommission hat mit dem Durchführungsbeschluss (EU) 2023/1795 ein angemessenes Schutzniveau für DPF-zertifizierte US-Empfänger festgestellt. Google LLC gibt selbst an, für sich und seine hundertprozentigen US-Tochtergesellschaften nach dem EU-U.S. DPF, der UK-Erweiterung und dem Swiss-U.S. DPF zertifiziert zu sein (Google, „Data transfer frameworks“, Fassung 23.08.2025). Der Eintrag ist über die offizielle Teilnehmerliste auf dataprivacyframework.gov zu prüfen; wir konnten diese Liste zum Stand 25.07.2026 aus technischen Gründen nicht maschinell auslesen und stützen uns daher auf Googles eigene Erklärung.
• Art. 46 — Standardvertragsklauseln. Das Google Data Processing Addendum (Version 10, 07.05.2026) sieht beide Wege vor: „The Data Privacy Framework will apply to any Restricted European Transfer to a certified Google entity in the US“, und falls keine Transferlösung greift, gelten die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914. Das DPA gilt allerdings nur für die bezahlte Stufe — siehe oben.

Und die ehrliche Restunsicherheit zum DPF. Der Angemessenheitsbeschluss ist zum Stand 25.07.2026 in Kraft. Das Gericht der Europäischen Union hat ihn am 03.09.2025 in der Rechtssache T-553/23 (Latombe/Kommission) bestätigt und die Nichtigkeitsklage abgewiesen; gegen dieses Urteil ist seit 31.10.2025 ein Rechtsmittel beim EuGH anhängig (C-703/25 P), über das bis zum Abrufdatum nicht entschieden ist. Hinzu kommt: Das PCLOB, eine der Aufsichtsinstitutionen, auf die sich der Beschluss stützt, ist seit Januar 2025 ohne Beschlussfähigkeit, und der US Supreme Court hat am 29.06.2026 in Trump v. Slaughter entschieden, dass der gesetzliche Kündigungsschutz für FTC-Commissioners verfassungswidrig ist — die FTC ist aber die Behörde, die die DPF-Grundsätze durchsetzen soll. Ob das den Angemessenheitsbeschluss zu Fall bringt, ist offen; er bleibt „formally in force unless and until it is repealed by the Commission or annulled by the Union courts“. Wir sagen dir das, weil es dein Risiko mitbestimmt: Es ist nicht auszuschließen, dass die Grundlage für US-Transfers kurzfristig wegfällt. Deshalb ist die vertragliche Absicherung über SCC plus DPA für uns kein optionales Extra, sondern die Rückfallebene.

Skinmetrics ist kein Medizinprodukt

In der App und hier gilt derselbe Satz:

„Diese KI-Analyse dient nur zur Information und ist keine medizinische Diagnose. Bei medizinischen Fragen wende dich an eine Dermatologin/einen Dermatologen oder eine Ärztin/einen Arzt. Skinmetrics ist kein Medizinprodukt.“ — und: „Skinmetrics ist kein Medizinprodukt und ersetzt keine ärztliche Beratung, Diagnose oder Behandlung.“

Das ist keine Floskel, sondern eine bewusste rechtliche Abgrenzung. Nach Art. 2 Z 1 MDR (EU) 2017/745 ist Software ein Medizinprodukt, wenn sie vom Hersteller für einen medizinischen Zweck bestimmt ist — genannt sind unter anderem Diagnose, Verhütung, Überwachung, Vorhersage, Prognose, Behandlung oder Linderung von Krankheiten. Erwägungsgrund 19 MDR stellt im Gegenzug klar, dass Software für Zwecke in den Bereichen Lebensstil und Wohlbefinden kein Medizinprodukt ist. Entscheidend ist also die Zweckbestimmung, und die bestimmt sich nach Art. 2 Z 12 MDR ausdrücklich auch nach dem „Werbe- oder Verkaufsmaterial bzw. den Werbe- oder Verkaufsangaben“.

Technisch hilft uns die Abgrenzung nicht. Nach der Leitlinie MDCG 2019-11 Rev. 1 (17.06.2025) ist Software dann kein Medizinprodukt, wenn sie über „storage, archival, communication, simple search, lossless compression“ nicht hinausgeht und nicht dem Nutzen eines individuellen Patienten dient. Beides trifft auf Skinmetrics nicht zu: Die App analysiert ein Bild und liefert ein Ergebnis für genau eine Person. Was Skinmetrics aus der MDR heraushält, ist ausschließlich die Zweckbestimmung.

Deshalb gilt für uns verbindlich, in der App wie in der Werbung: Skinmetrics beschreibt das kosmetische Erscheinungsbild der Haut — Textur, Poren, Trockenheit, Rötungsempfinden, Verlauf — und schlägt Pflegeprodukte und Routinen vor. Skinmetrics nennt keine Krankheiten und keinen Krankheitsverdacht, gibt keine Risiko-, Vorhersage- oder Prognoseaussagen zu Erkrankungen ab, betreibt kein Screening und keine Früherkennung, überwacht keine Läsionen mit Auffälligkeitswarnung und spricht keine krankheitsbezogenen Triage-Empfehlungen aus.

Was Apple zusätzlich verlangt

Unabhängig von der DSGVO gelten Apples App Review Guidelines (abgerufen 25.07.2026):

• 1.4.1 (Physical Harm). Medizin-Apps, die ungenaue Daten liefern oder zur Diagnose genutzt werden könnten, prüft Apple strenger. Genauigkeitsbehauptungen müssen mit Daten und Methodik belegt werden — „if the level of accuracy or methodology cannot be validated, we will reject your app“ —, und Apps, die medizinische Messungen „using only the sensors on the device“ behaupten, sind nicht zugelassen. Apps sollen Nutzer daran erinnern, zusätzlich ärztlichen Rat einzuholen. Für uns heißt das: keine Genauigkeitsversprechen und ein sichtbarer Arzt-Hinweis.
• 5.1.1(i) (Privacy Policies). Die Datenschutzerklärung muss klar benennen, welche Daten erhoben werden, wie und wofür, muss bestätigen, dass Dritte, mit denen Daten geteilt werden, ein gleichwertiges Schutzniveau bieten, und muss Aufbewahrung, Löschung sowie Widerruf der Einwilligung erklären. Genau das leistet dieser Abschnitt.
• 5.1.1(ii) und (iii). Einwilligung ist erforderlich, der Widerruf muss leicht zugänglich sein, und Datenminimierung gilt: Skinmetrics verlangt im Release keinen Zugriff auf deine Fotomediathek, sondern nur die Kamera.
• 5.1.2(i) und (vi). Weitergabe personenbezogener Daten an Dritte — Apple nennt ausdrücklich third-party AI — ist offenzulegen und einwilligungspflichtig. Und: Daten aus Kamera- und Foto-APIs „may not be used for marketing, advertising or use-based data mining, including by third parties“.
• 5.1.3(i) und (ii) (Health and Health Research). Gesundheits- und Fitnessdaten dürfen nicht für Werbung, Marketing oder nutzungsbasiertes Data Mining verwendet werden. Außerdem: „may not store personal health information in iCloud“ — dieser Punkt ist wegen des iPhone-Backups oben von uns noch abschließend zu bewerten.

Wir halten das ein: Es gibt in Skinmetrics keine Werbung, kein Werbe-SDK, kein Tracking und keinen Weiterverkauf von Daten, und deine Hautdaten werden für nichts anderes als deine Analyse verwendet.

Berechtigungen — und was Skinmetrics bewusst nicht tut

• Kamera (NSCameraUsageDescription) — für Scans und Check-in-Fotos. Die Gesichtserkennung und Ausrichtungsprüfung läuft vollständig lokal über Apples Vision-Framework; dafür verlässt kein Bild das Gerät.
• Lokale Benachrichtigungen — Erinnerungen an Routine und Check-in. Sie werden auf dem Gerät erzeugt; es gibt keine Push-Server und keine Push-Token.
• Keine Fotomediathek im Release (der Zugriff existiert nur in Debug-Builds), kein Standort, kein HealthKit, kein App Tracking Transparency, kein Mikrofon, kein Kontaktzugriff.
• Die App nutzt Background App Refresh (fetch) und das URL-Schema dermascan://. Beides überträgt keine Inhalte an uns.

Produktkatalog und Affiliate-Links

Der Produktkatalog mit rund 649 Einträgen liegt vollständig lokal in der App. Es findet keine Abfrage bei einem Shop statt, solange du nichts antippst. Tippst du auf einen Produktlink, öffnet sich eine Amazon-Suchseite in deinem Browser — ab diesem Moment ist Amazon eigener Verantwortlicher Art. 4 Z 7 DSGVO für alles, was dort passiert; es gilt deren Datenschutzerklärung. Wir übermitteln dabei keine Analysedaten, keine Fotos, keine Skin-Scores und kein Nutzerprofil an den Shop.

Eine Affiliate-Integration (Skimlinks/Sovrn) ist im Code vorhanden, aber derzeit deaktiviert — die Händler-Kennung ist leer, Links werden unverändert durchgereicht, es wird also keine Provision generiert und kein Affiliate-Netzwerk kontaktiert. Sofern wir Affiliate-Links aktivieren, kennzeichnen wir sie unmittelbar beim jeweiligen Link als Werbung — nicht am Bildschirmende und nicht nur in den AGB. Das folgt aus dem Verbot getarnter redaktioneller Werbung Anh. Z 11 UWG, dem Vorenthalten wesentlicher Informationen § 2 Abs. 4 UWG und der Erkennbarkeit kommerzieller Kommunikation § 6 ECG; § 26 MedienG kann daneben einschlägig sein, soweit man die App oder die Website als periodisches elektronisches Medium ansieht. Art. 26 DSA gilt hier nicht: Diese Vorschrift adressiert Anbieter von Online-Plattformen im Sinne von Art. 3 lit. i DSA, also Hostingdienste, die nutzergenerierte Inhalte öffentlich verbreiten — Skinmetrics tut das nicht, und Kleinstunternehmen sind nach Art. 19 DSA von Abschnitt 3 ohnehin ausgenommen.

Abo und Zahlung

Skinmetrics ist nach dem Onboarding nur mit einem Abo nutzbar. Die Abwicklung läuft ausschließlich über Apples StoreKit und deinen App-Store-Account. Wir sehen weder deinen Namen noch deine Zahlungsdaten, deine Kreditkarte oder deine Rechnungsadresse. Wir erfahren von Apple nur, ob auf diesem Gerät ein gültiges Abo vorliegt. Für die Zahlung selbst ist Apple verantwortlich; es gelten die Datenschutzbestimmungen von Apple. Kündigung und Rechnungen findest du in deinen App-Store-Einstellungen.

Deine Rechte — und wie du sie hier praktisch ausübst

Weil wir keine Kopie deiner Daten haben, ist der schnellste Weg meist der über die App selbst:

• Löschung Art. 17 DSGVO: In den Einstellungen findest du „Clear All Data“. Damit werden alle lokal gespeicherten Daten samt Fotos entfernt. Zusätzlich löscht das Deinstallieren der App den gesamten Container. Denk an dein Backup (siehe oben).
• Datenübertragbarkeit und Auskunft Art. 15, 20 DSGVO: Die App bietet einen Klartext-Export als .txt-Datei, den du teilen kannst. Er enthält deine Scans, Check-ins inklusive der KI-Texte, Spots und Produkte — aus Praktikabilitätsgründen keine Fotos. Deine Fotos kannst du über die App selbst sichern.
• Widerruf der Einwilligung Art. 7 Abs. 3 DSGVO: jederzeit, mit Wirkung für die Zukunft. Nach dem Widerruf finden keine weiteren Übermittlungen an Google statt.
• Berichtigung, Einschränkung, Widerspruch Art. 16, 18, 21 DSGVO: Deine Profilangaben kannst du in der App jederzeit ändern oder löschen.
• Gegenüber Google kannst du deine Rechte direkt geltend machen; wir unterstützen dich dabei, soweit uns Google das ermöglicht.
• Beschwerderecht Art. 77 DSGVO: bei der Österreichischen Datenschutzbehörde oder der Aufsichtsbehörde deines Aufenthaltsorts.

Fragen zum Datenschutz beantworten wir unter privacy@q-systems.app.

6 · Empfänger und Übermittlung in Drittländer

Wir verkaufen keine Daten und geben nichts zu Werbe- oder Analysezwecken weiter. Es gibt nur eine überschaubare Zahl von Empfängern, und jeder davon ist technisch notwendig. Dieser Abschnitt beschreibt wer die Empfänger sind, in welcher Rolle sie handeln und worauf sich eine Übermittlung in ein Drittland stützt. Welche Daten Skinmetrics überträgt, steht im App-Kapitel.

Zum Stand des EU-U.S. Data Privacy Framework (2026)

Mehrere unserer Empfänger sitzen in den USA. Für Übermittlungen dorthin gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-U.S. Data Privacy Framework (DPF), Durchführungsbeschluss (EU) 2023/1795. Er erlaubt Übermittlungen an US-Unternehmen, die sich beim US-Handelsministerium unter dem DPF selbstzertifiziert haben, ohne zusätzliche Garantien nach Art. 46 DSGVO.

Der aktuelle Stand, geprüft am [Datum der letzten Prüfung]:

• Das Gericht der Europäischen Union (EuG) hat mit Urteil vom 3. September 2025 in der Rechtssache T-553/23 (Latombe/Kommission) die Nichtigkeitsklage gegen den Angemessenheitsbeschluss abgewiesen und dessen Gültigkeit bestätigt.
• Gegen dieses Urteil wurde im Oktober 2025 ein Rechtsmittel zum Europäischen Gerichtshof eingelegt. Das Verfahren ist noch anhängig.
• Der Angemessenheitsbeschluss ist weder aufgehoben noch ausgesetzt und bleibt bis zu einer anderslautenden Entscheidung eine gültige Grundlage für Übermittlungen.
• Kritisch bleibt, dass das Privacy and Civil Liberties Oversight Board (PCLOB) seit der Abberufung mehrerer Mitglieder im Januar 2025 nicht mehr beschlussfähig ist. Damit ist eine der Säulen des Rahmens — die unabhängige Kontrolle der US-Nachrichtendienste und die Unterstützung des Rechtsbehelfsmechanismus — geschwächt.

Google — KI-Analyse (Gemini API)

• Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
• Betroffene App: Skinmetrics.
• Zweck: Erzeugung der KI-Analysen (Hautanalyse und Textauswertung). Ohne diese Übermittlung gibt es kein Ergebnis.
• Drittland: USA. Google LLC ist unter dem EU-U.S. Data Privacy Framework aktiv zertifiziert (Teilnehmereintrag Nr. 5780; zusätzlich UK Extension und Swiss-U.S. DPF; abgedeckt sind HR- und Non-HR-Daten). Die Zertifizierung erstreckt sich laut Eintrag auf Google LLC und dessen hundertprozentige US-Tochtergesellschaften. Grundlage der Übermittlung ist damit Art. 45 (1) DSGVO. Ergänzend hat Google für Konstellationen außerhalb des DPF Standardvertragsklauseln im Einsatz.

Was Google mit den Inhalten macht: Es gelten die Gemini API Additional Terms of Service (Fassung wirksam ab 23. März 2026, zuletzt aktualisiert 28. April 2026). Für unbezahlte Nutzung sehen diese Bedingungen grundsätzlich vor, dass Google eingereichte Inhalte und erzeugte Antworten zur Bereitstellung und Weiterentwicklung eigener Produkte verwendet und dass menschliche Prüferinnen und Prüfer Inhalte lesen und annotieren können. Für den Europäischen Wirtschaftsraum, die Schweiz und das Vereinigte Königreich gilt jedoch eine ausdrückliche Ausnahme: Dort gelten die strengeren Datenregeln der kostenpflichtigen Stufe für alle Dienste einschließlich der kostenlosen Kontingente. Google formuliert das so:

Praktisch bedeutet das: Für Nutzerinnen und Nutzer im EWR werden die an Gemini gesendeten Fotos, Texte und Angaben nach den Zusagen von Google nicht zum Training von Modellen verwendet, aber für eine begrenzte Zeit zu Missbrauchs- und Sicherheitszwecken protokolliert. Eine konkrete Frist nennt Google für diesen allgemeinen Fall nicht.

Datenschutzerklärung von Google: policies.google.com/privacy. Angaben zu den Übermittlungsrahmen: policies.google.com/privacy/frameworks.

Apple — App Store, Käufe und Abonnements

• Empfänger: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland (verantwortlich für den EWR), sowie Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA.
• Betroffene App: Skinmetrics.
• Rolle: Apple ist für Download, Kauf, Abrechnung, Verlängerung und Kündigung von Abonnements sowie für App-Store-Analysen eigenständig Verantwortlicher, nicht unser Auftragsverarbeiter. Wir haben darauf keinen Einfluss.

Käufe und Abonnements (StoreKit): Alle Zahlungen laufen ausschließlich über deine Apple-ID und die bei Apple hinterlegte Zahlungsmethode. Q Systems erhält keine Zahlungsdaten, keine Kreditkartennummer, keinen Namen, keine Rechnungsadresse und keine Apple-ID. Die Apps prüfen den Kaufstatus über die von Apple kryptografisch signierten Transaktionsdaten, die auf dem Gerät ausgewertet werden. Vom Kaufvorgang bekommen wir nur die aggregierten, nicht personenbezogenen Verkaufsberichte in App Store Connect.

App-Analysen: Apple stellt uns in App Store Connect aggregierte Kennzahlen bereit (Einheiten, Umsätze, Abstürze, Nutzungsdaten). Diese Daten stammen ausschließlich von Personen, die gegenüber Apple in die Weitergabe von Diagnose- und Nutzungsdaten an Entwickler eingewilligt haben, und erreichen uns nur in aggregierter, für uns nicht auf Einzelpersonen rückführbarer Form. Wir setzen dafür kein eigenes SDK ein.

Benachrichtigungen: Skinmetrics verwendet ausschließlich lokale Benachrichtigungen, die auf deinem Gerät geplant und ausgelöst werden. Es gibt keine Push-Benachrichtigungen über Apples Server; entsprechend wird kein Push-Token an uns oder an Apple übermittelt.

Drittland: Eine Zertifizierung von Apple Inc. unter dem EU-U.S. Data Privacy Framework konnten wir auf der offiziellen Teilnehmerliste nicht feststellen. Apple selbst gibt in seiner Datenschutzerklärung an, internationale Übermittlungen aus dem EWR, dem Vereinigten Königreich und der Schweiz auf Standardvertragsklauseln zu stützen — also auf geeignete Garantien nach Art. 46 (2) c DSGVO. Da Apple hier ohnehin eigenständig verantwortlich ist, richtet sich die Zulässigkeit dieser Übermittlungen nach Apples eigenen Angaben.

Datenschutzerklärung von Apple: apple.com/legal/privacy.

GitHub — Hosting dieser Website

• Empfänger: GitHub, Inc., San Francisco, USA; gegenüber dem EWR daneben GitHub B.V., Niederlande.
• Betroffener Bereich: ausschließlich diese Website, keine der Apps.
• Rolle: eigenständig Verantwortlicher für die Server-Protokolle; kein Auftragsverarbeitungsvertrag (siehe Diese Website).
• Drittland: USA. GitHub, Inc. ist unter dem EU-U.S. Data Privacy Framework aktiv zertifiziert — mit einem eigenen Teilnehmereintrag (Nr. 6174), nicht über die Zertifizierung der Muttergesellschaft Microsoft. Erfasst sind zusätzlich die UK Extension und das Swiss-U.S. DPF; die Zertifizierung deckt Non-HR-Daten ab, was für Website-Besuchsdaten einschlägig ist. Grundlage der Übermittlung ist damit Art. 45 (1) DSGVO. Für Übermittlungen außerhalb des DPF stützt sich GitHub nach eigenen Angaben auf die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914.

Datenschutzerklärung von GitHub (Fassung wirksam ab 27. April 2026): GitHub General Privacy Statement.

Weitere mögliche Empfänger

• Anbieter unseres E-Mail-Postfachs: [Name und Sitz des E-Mail-Anbieters] — Auftragsverarbeiter nach Art. 28 DSGVO.
• Steuerberatung und Buchhaltung: [Name und Sitz, falls beauftragt] — soweit Belege mit Personenbezug anfallen.
• Behörden und Gerichte: soweit wir gesetzlich zur Auskunft verpflichtet sind, Art. 6 (1) c DSGVO.

Weitere Empfänger gibt es nicht. Insbesondere gibt es keine Werbenetzwerke, keine Datenhändler, keine Analytics-Anbieter und keine Attributionsdienste. Beim Anklicken von Produktlinks in Skinmetrics öffnet sich die jeweilige Zielseite direkt in deinem Browser; Einzelheiten dazu stehen im Kapitel Skinmetrics.

7 · Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist, und löschen sie danach oder anonymisieren sie.

• Daten in den Apps: Alle App-Inhalte liegen in der lokalen Datenbank auf deinem Gerät. Sie bleiben dort, bis du sie selbst löschst oder die App deinstallierst. Beim Löschen der App entfernt iOS den gesamten App-Container einschließlich der Datenbank und der Fotos. Es gibt keine serverseitige Kopie bei Q Systems, die nach der Deinstallation zurückbliebe — wir haben schlicht keinen Server, auf dem etwas liegen könnte. Skinmetrics bietet eine Funktion zum vollständigen Löschen aller Daten.
• E-Mail-Korrespondenz: siehe Kontaktaufnahme per E-Mail.
• Server-Protokolle der Website: liegen ausschließlich bei GitHub. GitHub veröffentlicht dazu keine konkrete Frist; wir haben darauf keinen Zugriff und können sie nicht löschen.
• Inhalte, die an Google übermittelt wurden: unterliegen den Aufbewahrungsregeln von Google für die Gemini API. Für den EWR gelten die Regeln der kostenpflichtigen Stufe; eine Protokollierung zu Sicherheits- und Missbrauchszwecken für einen begrenzten Zeitraum ist dort vorgesehen. Eine Zahl nennt Google für diesen Fall nicht, und wir erfinden keine.
• Kaufbezogene Unterlagen: Belege und Geschäftsbriefe mit steuerlicher Relevanz bewahren wir sieben Jahre auf (§ 132 BAO, § 212 UGB). Diese Unterlagen stammen von Apple und sind in aller Regel aggregiert und ohne Personenbezug.

8 · Deine Rechte

Dir stehen gegenüber Q Systems die folgenden Rechte zu:

• Auskunft darüber, ob und welche Daten wir über dich verarbeiten, Art. 15 DSGVO
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten, Art. 16 DSGVO
• Löschung, Art. 17 DSGVO
• Einschränkung der Verarbeitung, Art. 18 DSGVO
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format, Art. 20 DSGVO
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen, Art. 21 DSGVO
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft, Art. 7 (3) DSGVO. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

Wende dich dafür an privacy@q-systems.app. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 (3) DSGVO). Die Bearbeitung ist kostenlos.

Wenn wir dich nicht identifizieren können — Art. 11 DSGVO

Das ist der Punkt, an dem wir besonders genau sein müssen, weil er leicht wie eine Ausrede klingt.

Die App hat kein Nutzerkonto, einen Login, eine Geräte-ID oder eine sonstige Kennung, mit der wir eine Person wiedererkennen könnten. Wir speichern keine App-Inhalte auf eigenen Servern. Das bedeutet: Wenn du uns schreibst, können wir nicht überprüfen, wer du bist — und wir haben auch keine Daten, die wir dir zuordnen könnten.

Art. 11 (1) DSGVO stellt klar, dass wir nicht verpflichtet sind, zusätzliche Informationen aufzubewahren oder zu erheben, nur um dich identifizieren zu können. Nach Art. 11 (2) DSGVO gelten die Rechte aus Art. 15 bis 20 DSGVO in diesem Fall nicht, soweit wir nachweisen können, dass wir dich nicht identifizieren können — es sei denn, du stellst uns zusätzliche Informationen zur Verfügung, die eine Identifizierung ermöglichen.

Wir nutzen das nicht als Schutzschild. Konkret heißt das:

• Deine Daten sind nicht bei uns, sondern bei dir. Alle App-Inhalte liegen auf deinem Gerät und stehen dir dort jederzeit vollständig zur Verfügung. Du kannst sie in der App ansehen, ändern und löschen. Eine Auskunft von uns würde dir nichts zeigen, was du nicht ohnehin schon vor dir hast — und eine Löschung durch uns kann nichts löschen, was wir nicht haben.
• Für Daten, die uns tatsächlich erreichen, gelten deine Rechte uneingeschränkt. Das betrifft vor allem E-Mail-Korrespondenz. Hier können wir dich über deine Absenderadresse zuordnen, und wir erteilen Auskunft und löschen auf Wunsch.
• Wir schaffen kein Konto, nur um Rechte ausüben zu können. Das wäre datenschutzrechtlich unsinnig: Wir müssten dich zuerst identifizierbar machen, um dir anschließend Auskunft über die dadurch entstandenen Daten geben zu können.
• Bei Rechten gegenüber Dritten helfen wir weiter. Wenn du Rechte gegenüber Google, Apple oder GitHub geltend machen willst, sag uns, worum es geht — wir nennen dir, welche Daten die jeweilige App an wen übermittelt hat, damit du deine Anfrage dort konkret stellen kannst.

Beschwerderecht

Unabhängig davon hast du nach Art. 77 DSGVO das Recht, dich bei einer Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt. Zuständig ist die Behörde deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für Q Systems ist das:

• Österreichische Datenschutzbehörde
• Barichgasse 40–42, 1030 Wien, Österreich
• Telefon: +43 1 52 152-0
• E-Mail: dsb@dsb.gv.at
• Web: www.dsb.gv.at

Dir steht daneben der Rechtsweg zu den ordentlichen Gerichten offen, Art. 79 DSGVO, § 29 DSG.

9 · Datensicherheit

Nach Art. 32 DSGVO müssen wir dem Risiko angemessene technische und organisatorische Maßnahmen treffen. Wir beschreiben hier, was die Apps tatsächlich tun — keine Maßnahmen, die wir nicht umgesetzt haben.

Was umgesetzt ist

• App-Sandbox von iOS: Jede App läuft in einem eigenen, vom System abgeschotteten Verzeichnis. Andere Apps können nicht auf ihre Daten zugreifen.
• Verschlüsselung im Ruhezustand: iOS verschlüsselt den Gerätespeicher. Skinmetrics setzt für das Verzeichnis der lokalen Datenbank zusätzlich die stärkste iOS-Schutzklasse (Complete File Protection). Die Daten sind damit nur entschlüsselbar, solange das Gerät entsperrt ist. Voraussetzung ist, dass du auf deinem iPhone einen Gerätecode eingerichtet hast — ohne Code gibt es keinen wirksamen Schutz im Ruhezustand.
• Transportverschlüsselung: Alle Netzwerkverbindungen laufen über HTTPS mit TLS 1.2 oder höher. Unverschlüsselte Verbindungen sind in den Apps nicht zugelassen.
• Keine dauerhaften Netzwerk-Caches: Skinmetrics verwendet für die Verbindung zur KI-Schnittstelle eine flüchtige Sitzungskonfiguration, sodass Antworten nicht auf der Festplatte zwischengespeichert werden.
• Datenminimierung vor der Übertragung: Bilder werden vor dem Versand auf maximal 1024 Pixel Kantenlänge verkleinert und komprimiert. Es wird nur das übertragen, was für die jeweilige Analyse gebraucht wird.
• Keine Konten, keine Passwörter: Da es keine Nutzerkonten gibt, gibt es auch keine Zugangsdaten, die gestohlen werden könnten, und keine zentrale Datenbank, die kompromittiert werden könnte.
• Lokale Verarbeitung, wo möglich: Gesichtserkennung und Bildausrichtung in Skinmetrics laufen über das Vision-Framework von Apple ausschließlich auf dem Gerät.

Was wir ausdrücklich nicht zusichern

Meldung von Sicherheitslücken

Wenn du eine Sicherheitslücke findest, melde sie bitte an privacy@q-systems.app. Wir prüfen jede Meldung. Bei einer Verletzung des Schutzes personenbezogener Daten mit Risiko für dich informieren wir die Datenschutzbehörde nach Art. 33 DSGVO und, bei hohem Risiko, die betroffenen Personen nach Art. 34 DSGVO. Da wir keine Kontaktdaten unserer Nutzerinnen und Nutzer haben, erfolgt eine Benachrichtigung in diesem Fall über eine öffentliche Mitteilung auf dieser Website und, soweit möglich, in der App.

10 · Apples Datenschutzangaben und Privacy Manifests

Zusätzlich zu dieser Erklärung findest du zu jeder App im App Store Apples eigene App-Datenschutzangaben („App Privacy Details", umgangssprachlich Nutrition Labels). Sie stehen auf der Produktseite jeder App unter „App-Datenschutz" und fassen in Apples standardisierten Kategorien zusammen, welche Daten erhoben, ob sie mit deiner Identität verknüpft und ob sie zum Tracking verwendet werden.

Technisch untermauert wird das durch die Privacy Manifests (PrivacyInfo.xcprivacy) in den Apps. Darin deklarieren wir gegenüber Apple die erhobenen Datenarten, ihren Verwendungszweck und die Gründe für die Nutzung bestimmter Systemschnittstellen. Xcode fasst die Manifests der App und aller eingebundenen Bibliotheken beim Build zu einem Privacy Report zusammen, der in die Angaben im App Store einfließt. In allen Apps von Q Systems ist dabei Tracking auf „false" gesetzt.

Anforderungen von Apple an diese Erklärung

Apple verlangt in Richtlinie 5.1.1(i) der App Review Guidelines, dass jede App einen Link auf ihre Datenschutzerklärung sowohl in den Metadaten in App Store Connect als auch leicht zugänglich in der App selbst enthält, und dass diese Erklärung klar und ausdrücklich

• angibt, welche Daten die App erhebt, wie sie erhoben werden und wofür sie verwendet werden;
• bestätigt, dass jeder Dritte, mit dem Nutzerdaten geteilt werden — Analysewerkzeuge, Werbenetzwerke, Drittanbieter-SDKs sowie verbundene Unternehmen — dasselbe oder ein gleichwertiges Schutzniveau bietet;
• die Aufbewahrungs- und Löschregeln erläutert und beschreibt, wie eine Einwilligung widerrufen und die Löschung der Daten verlangt werden kann.

Diese Erklärung erfüllt diese Punkte in den Abschnitten Empfänger und Übermittlung in Drittländer, Speicherdauer und Deine Rechte sowie in den App-Kapiteln. Zu den Empfängern halten wir fest: Die eingesetzten Dienste von Google, Apple und Open-Meteo unterliegen jeweils eigenen, veröffentlichten Datenschutzzusagen und — soweit Übermittlungen in die USA betroffen sind — dem EU-U.S. Data Privacy Framework beziehungsweise Standardvertragsklauseln; damit gelten für die weitergegebenen Daten Schutzstandards, die dem in dieser Erklärung beschriebenen Niveau entsprechen. Ein Verkauf oder eine Weitergabe zu Werbezwecken findet bei keinem dieser Empfänger statt.

Ergänzend gilt 5.1.1(v): Unsere Apps verlangen keinen Login. Es gibt kein Konto, das gelöscht werden müsste — die Löschung erfolgt durch Löschen der Daten in der App oder durch Deinstallation.

11 · Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Apps, die eingesetzten Dienste oder die Rechtslage ändern. Maßgeblich ist immer die hier veröffentlichte Fassung.

• Stand dieser Fassung: [Datum], Version [Versionsnummer].
• Frühere Fassungen stellen wir auf Anfrage an privacy@q-systems.app zur Verfügung.
• Benachrichtigung: Da wir keine Nutzerkonten und keine Kontaktdaten haben, können wir dich nicht individuell informieren. Wesentliche Änderungen kündigen wir deshalb vorab auf dieser Seite an und weisen zusätzlich in der betroffenen App darauf hin.
• Einwilligungen: Wenn eine Änderung eine Verarbeitung betrifft, die auf deiner Einwilligung beruht, holen wir dafür eine neue Einwilligung ein. Eine stillschweigende Ausweitung bestehender Einwilligungen findet nicht statt.

Wenn du mit einer Änderung nicht einverstanden bist, kannst du die betroffene App jederzeit deinstallieren. Deine lokalen Daten werden dabei mit entfernt. Hinweise zur Kündigung laufender Abonnements findest du in den Nutzungsbedingungen und in den Einstellungen deiner Apple-ID.

---

Fragen? Schreib uns an privacy@q-systems.app (Datenschutz) oder hello@q-systems.app (alles andere).