Memoriia wurde mit Datenschutz als Architekturprinzip entwickelt, nicht als regulatorische Anforderung. Wir verkaufen keine Daten. Wir zeigen keine Werbung. Diese Richtlinie erklärt vollständig was wir mit Ihren Daten tun.
1. Identität des Verantwortlichen
| Unternehmen | Bremen Core LLC |
| Jurisdiktion | Staat Wyoming, USA |
| Produkt | Memoriia (WhatsApp-basierte Erinnerungsplattform) |
| Kontakt / DSB | contact@memoriia.io |
| EU-Vertreter | Gemäß Art. 27 DSGVO zu benennen wenn Schwellenwerte überschritten werden. Kontakt unter contact@memoriia.io. |
Bremen Core handelt als Verantwortlicher (Controller unter DSGVO/UK DSGVO, Controlador unter LGPD) für direkt über Memoriia erhobene Daten, und als Auftragsverarbeiter bezüglich der vom Nutzer freiwillig eingegebenen Inhalte.
2. Schlüsseldefinitionen
| Begriff | Definition |
|---|---|
| Personenbezogene Daten | Jede Information die eine natürliche Person identifiziert oder identifizierbar macht. |
| Verarbeitung | Jede Operation mit personenbezogenen Daten: Erhebung, Speicherung, Verwendung, Übermittlung oder Löschung. |
| Auftragsverarbeiter | Autorisierter externer Anbieter der Daten im Auftrag von Bremen Core unter Vertrag mit gleichwertigen Garantien verarbeitet. |
| Wächter | Vom Nutzer benannte dritte Person zum Empfang automatisierter Benachrichtigungen in Eskalationsprotokollen. |
| Biometrische Daten | Aus physiologischen Merkmalen des menschlichen Körpers abgeleitete Daten: Herzfrequenz, EKG, Temperatur, Beschleunigungssensor. |
| Standortdaten | GPS-Koordinaten oder äquivalente die es ermöglichen den physischen Aufenthaltsort einer Person in Echtzeit zu bestimmen. |
3. Kategorien verarbeiteter personenbezogener Daten
| Datum | Beschreibung |
|---|---|
| Telefonnummer | Primärer Bezeichner. Verknüpft mit dem WhatsApp-Konto. Pflicht für den Dienst. |
| Erinnerungsinhalte | Freitext, transkribiertes Audio oder Bilder die an Memoriia gesendet werden. Vollständig vom Nutzer kontrolliert. |
| Wächter | Name und Nummer einer freiwillig benannten dritten Person. Siehe §9. |
| Einstellungen | Sprache, Zeitzone, Einstellungen, gebuchter Plan. |
| Datum | Aufbewahrung |
|---|---|
| Interaktions-Metadaten | Datum/Uhrzeit von Nachrichten und Bestätigungen. Bis zur Kündigung. |
| Systemprotokolle | Technische Protokolle. Nach 90 Tagen anonymisiert. |
| Auditdaten | Systemaktionsprotokoll. Bis zu 12 Monate. |
Kartendaten werden ausschließlich von Stripe, Inc. (PCI-DSS Stufe 1) verarbeitet. Bremen Core empfängt, speichert oder verarbeitet niemals Zahlungsmethoden-Daten.
3b. Biometrische Daten und Standortdaten — Besondere Regelung
Die Nutzung des biometrischen Überwachungs- und Ortungssystems von Memoriia (Funktionen Smartwatch und Sicherheitszone) umfasst die Verarbeitung besonderer Kategorien von Daten, die nach dem Recht aller Länder, in denen wir tätig sind, einen verstärkten Schutz erfordern. Diese Daten werden ausschließlich mit der ausdrücklichen, freiwilligen, informierten, eindeutigen und widerruflichen Einwilligung des Nutzers verarbeitet.
Memoriia kann von der Smartwatch des Nutzers erhalten: Herzfrequenz (BPM), Elektrokardiogramm (EKG), Körpertemperatur, Beschleunigungssensordaten (Sturzerkennung) und Muster körperlicher Aktivität.
Die Funktion Sicherheitszone (für die Betreuung älterer Menschen mit Alzheimer oder anderen Erkrankungen) nutzt GPS-Koordinaten vom Gerät des überwachten Angehörigen. Memoriia kann außerdem den letzten Standort des Hauptnutzers für biometrische Notfallprotokolle (Stufe 3) speichern.
4. Verarbeitungszwecke und Rechtsgrundlage nach Jurisdiktion
| Zweck | DSGVO (EU) | LGPD (BR) | CCPA (CA) |
|---|---|---|---|
| Den Erinnerungsdienst bereitstellen | Art. 6.1.b | Art. 7-II | Geschäft |
| Eskalationsprotokoll ausführen | Art. 6.1.b | Art. 7-V | Geschäft |
| Biometrische und GPS-Überwachung | Art. 9.2.a | Art. 11-I | Opt-in |
| Sicherheitszone | Art. 9.2.a | Art. 11-I | Opt-in |
| Abonnement- und Abrechnungsverwaltung | Art. 6.1.b | Art. 7-II | Geschäft |
| Sicherheit und Betrugsprävention | Art. 6.1.f | Art. 7-IX | Geschäft |
| Einhaltung gesetzlicher Verpflichtungen | Art. 6.1.c | Art. 7-II | Gesetzlich |
| Serviceverbesserung (anonymisiert) | Art. 6.1.f | Art. 7-IX | Geschäft |
| Marketingkommunikation (Opt-in) | Art. 6.1.a | Art. 7-I | Einwillig. |
5. Grundsätze der Verarbeitung
① Datenminimierung: Wir erheben nur Daten, die für den Betrieb des Dienstes unbedingt erforderlich sind.
② Zweckbindung: Für einen Zweck erhobene Daten werden ohne neue Einwilligung nicht für andere Zwecke verwendet.
③ Richtigkeit: Wir geben dem Nutzer jederzeit die Möglichkeit, seine Daten zu berichtigen.
④ Integrität und Vertraulichkeit: Technische und organisatorische Maßnahmen zum Schutz der Daten vor unbefugtem Zugriff.
⑤ Rechenschaftspflicht: Bremen Core führt Verarbeitungsverzeichnisse (ROPA) und kann die Einhaltung gegenüber Aufsichtsbehörden nachweisen.
⑥ Privacy by Design: Datenschutz ist in der Systemarchitektur verankert, nicht nachträglich aufgesetzt.
6. Technische und organisatorische Sicherheitsmaßnahmen
| Maßnahme | Beschreibung |
|---|---|
| Verschlüsselung im Transit | TLS 1.3 für alle Kommunikationen zwischen Nutzer, WhatsApp und Memoriias Servern. |
| Verschlüsselung im Ruhezustand | AES-256 für die in der Datenbank gespeicherten Daten. |
| Zugangsdaten | Die Zugangsdaten zu den Diensten werden verschlüsselt gespeichert und bei Bedarf erneuert. |
| Eingeschränkter Zugang | Ihre Erinnerungen werden in unserer Datenbank gespeichert, verschlüsselt bei der Übertragung und im Ruhezustand. Der Zugriff ist auf den technischen Verantwortlichen von Memoriia beschränkt und wird nur genutzt, um Probleme des Dienstes zu lösen. Wir verkaufen, teilen oder analysieren Ihre Erinnerungen nicht zu kommerziellen Zwecken. |
| Kein Zugriff auf die Datenbank | Kein Nutzer greift direkt auf die Datenbank zu: Alles läuft über WhatsApp und das System von Memoriia. |
| Rate limiting / Redis | Schutz gegen Brute-Force, Flooding und automatisierten Missbrauch. |
| Prüfprotokoll | Wir protokollieren die Vorgänge des Systems zur Prüfung und Fehlerbehebung. |
| Kopien und Löschung | Was Sie löschen lassen, wird entfernt und in keiner Kopie aufbewahrt. Daten, die nicht mehr benötigt werden, werden automatisch gelöscht. |
Im Falle eines Sicherheitsvorfalls informiert Bremen Core die betroffenen Nutzer und die Aufsichtsbehörden innerhalb der geltenden gesetzlichen Fristen (72 Stunden nach DSGVO; entsprechende Fristen nach anderen Vorschriften).
7. Unterauftragsverarbeiter und Drittanbieter
| Anbieter | Wofür | Welche Daten | Land |
|---|---|---|---|
| Meta Platforms (WhatsApp Business) | Alle Nachrichten und Anrufe über WhatsApp | Telefonnummer und Inhalt der Nachrichten | USA / Global |
| Supabase | Datenbank | Alle Kontodaten und Erinnerungen | USA / UE |
| Telnyx | Telefonanrufe und die Stimme, die sie vorliest | Telefonnummer und der in Sprache umgewandelte Text | USA |
| Anthropic (Claude) | Verstehen, was Sie schreiben. Keine Nutzung zum Training. | Der Text der Nachricht | USA |
| OpenAI (Whisper) | Sprachnachrichten in Text umwandeln. Keine Nutzung zum Training. | Die gesendete Audiodatei | USA |
| Calendar (Kalender) und Maps (Gesundheitszentren im Notfall) | Kalendereinträge; Koordinaten nur bei einer Warnung | USA / Global | |
| Stripe | Zahlungen (PCI-DSS Level 1) | Rechnungsdaten. Memoriia sieht die Karte nie. | USA / UE |
| DigitalOcean | Eigene Server (drei, in New York), auf denen das System und die Anrufzentrale laufen | Alle Daten, die das System verarbeitet | USA (New York) |
Bremen Core kann Daten offenlegen, wenn eine zuständige Justiz- oder Aufsichtsbehörde dies durch eine gültige gerichtliche Anordnung verlangt. In diesem Fall informieren wir den Nutzer im gesetzlich größtmöglichen Umfang.
8. Internationale Datentransfers
| Jurisdiktion | Mechanismus |
|---|---|
| EU / UK | Standardvertragsklauseln (SCCs 2021/914) + UK IDTA. DSFA auf Anfrage verfügbar. |
| Brasilien | Länder mit angemessenem Niveau oder Klauseln gemäß Art. 33 LGPD. |
| Argentinien | Gemäß DNPDP-Verfügung 60-E/2016 (Gesetz 25.326 Art. 12). |
| Mexiko | Vertragsklauseln gemäß Art. 36 LFPDPPP. |
| SO-Asien (ID/TH) | Konform mit Thailand PDPA (2019) und Indonesien UU PDP. Vorherige ausdrückliche Einwilligung. |
9. Daten Dritter — Wächter
Mit der Benennung eines Wächters erklärt und garantiert der Nutzer, dass er:
· den Dritten vorab über den Dienst Memoriia und die Art der Benachrichtigungen informiert hat, die er erhalten kann.
· die ausdrückliche Einwilligung des Dritten zum Empfang automatisierter Mitteilungen eingeholt hat.
· Der Dritte kann die Löschung seiner Daten verlangen, indem er an contact@memoriia.io schreibt.
Was Ihr Wächter erhält: Ihren Namen, die Details der Erinnerung, die Sie nicht bestätigt haben (zum Beispiel das Medikament), und die Uhrzeit. Wenn Sie eine Uhr nutzen, auch Ihren Standort und die drei nächsten Gesundheitszentren. Er erhält nur Warnungen zu Kritischem: Ihren Medikamenten und Ihrer Sicherheit. Wir erklären Ihnen das, bevor Sie jemanden benennen, damit Sie wissen, was geteilt wird.
Sie können ihn jederzeit entfernen: Danach erhält er sofort keine Warnungen mehr.
Auch der Wächter hat Rechte: Seine Daten (Name und Telefon) haben Sie eingegeben, und er kann jederzeit verlangen, dass wir sie löschen.
10. Datenspeicherfristen
| Kategorie | Zeitraum |
|---|---|
| Aktive Kontodaten | Während des aktiven Abonnements |
| Daten nach Kündigung | 90 Tage (Reaktivierung) |
| Erinnerungsinhalte | Dauerhafte Löschung nach 90 Tagen |
| Biometrische und GPS-Daten | Sofortige Löschung bei Deaktivierung des Dienstes oder innerhalb von 30 Tagen nach Kündigung |
| Audit-Protokolle | Bis zu 12 Monate (gesetzliche Verpflichtung) |
| Abrechnungsdaten | 5–7 Jahre (Steuervorschriften) |
| Rechtsanfragen (DSAR) | 3 Jahre (Compliance-Nachweis) |
| Daten des Wächters | Gelöscht beim Löschen des Kontos oder der Einstellungen |
11. Rechte der betroffenen Person
Ausübbar per E-Mail an contact@memoriia.io. Antwort innerhalb von höchstens 30 Werktagen (15 Tage nach LGPD).
Anfragen welche Daten wir haben, wie wir sie verwenden und mit wem wir sie teilen.
Ungenaue, veraltete oder unvollständige Daten korrigieren.
Vollständige Löschung binnen 30 Tagen, außer bei gesetzlich vorgeschriebener Aufbewahrung.
Daten in strukturiertem Format (JSON/CSV) erhalten um sie zu übertragen.
Der Verarbeitung auf Basis berechtigter Interessen widersprechen.
Die Einwilligung jederzeit widerrufen, ohne rückwirkende Wirkung.
Die Ausübung von Rechten beeinträchtigt nicht die Qualität oder den Preis des Dienstes.
Menschliches Eingreifen bei bedeutenden automatisierten Entscheidungen anfordern.
12. Künstliche Intelligenz und automatisierte Entscheidungen
Memoriia nutzt KI-Modelle, um die natürliche Sprache der Erinnerungen zu verstehen. Die an die Modelle gesendeten Daten werden nicht zu deren Training verwendet. Es werden keine Entscheidungen mit rechtlicher Wirkung für den Nutzer ausschließlich auf Grundlage automatisierter Verarbeitung getroffen. Alle Textnachrichten werden mit Claude (Anthropic) und Sprachnachrichten mit Whisper (OpenAI) verarbeitet: Ohne diese Verarbeitung lässt sich Memoriia nicht nutzen. Wenn Sie nicht einverstanden sind, können Sie jederzeit die Löschung Ihres Kontos und Ihrer Daten verlangen.
13. Cookies und Tracking-Technologien
Die Website memoriia.io verwendet technisch notwendige Cookies und zusätzlich zwei Messwerkzeuge: Google Analytics, um zusammengefasst zu erfahren, wie viele Menschen die Website besuchen, aus welchem Land und welche Seiten sie aufrufen; und das Meta-Pixel, um die Ergebnisse unserer Werbekampagnen zu messen. Keines der beiden identifiziert Besucher namentlich oder hat Zugriff auf Erinnerungen, Nachrichten oder Gesundheitsdaten des Nutzers, die ausschließlich über WhatsApp verarbeitet werden und nicht über die Website laufen. Sie können diese Werkzeuge in den Einstellungen Ihres Browsers oder mit einer beliebigen Blocker-Erweiterung sperren, ohne dass dies die Nutzung des Dienstes beeinträchtigt. Der Hauptdienst läuft über WhatsApp und verwendet keine Cookies.
14. Schutz Minderjähriger
Memoriia richtet sich nicht an Personen unter 18 Jahren. Erfahren wir, dass wir Daten einer minderjährigen Person ohne überprüfbare elterliche Einwilligung verarbeitet haben, benachrichtigen wir die Eltern oder Erziehungsberechtigten, löschen alle Daten sofort und unwiderruflich und kündigen das Konto kostenlos. Wenn ein Elternteil oder Erziehungsberechtigter die Uhr eines Minderjährigen einrichtet, erklärt er, dies zu sein, und willigt in dessen Namen ein. Kontakt: contact@memoriia.io
15. Aufsichtsbehörden nach Jurisdiktion
| Land / Region | Behörde |
|---|---|
| EU | Aufsichtsbehörde des Mitgliedstaats (AEPD, CNIL, BfDI usw.) |
| UK | Information Commissioner's Office (ICO) — ico.org.uk |
| Brasilien | Nationale Datenschutzbehörde (ANPD) |
| Argentinien | Behörde für den Zugang zu öffentlichen Informationen (AAIP) |
| Mexiko | Nationales Transparenzinstitut (INAI) |
| Kalifornien | California Privacy Protection Agency (CPPA) |
| Indonesien | Ministerium für Kommunikation und Digital (Komdigi) |
16. Aktualisierungen dieser Richtlinie
Wesentliche Änderungen werden mindestens 15 Tage im Voraus per WhatsApp mitgeteilt. Unwesentliche Änderungen können ohne Vorankündigung wirksam werden. Die weitere Nutzung des Dienstes gilt als Annahme der aktualisierten Richtlinie.