Rechtliches
Deine Daten gehören dir. Dosify speichert nur, was für die App-Funktion nötig ist. Die Dosify-Datenbank wird in Frankfurt betrieben. Einzelne technische Dienstleister können Daten auch außerhalb des EWR verarbeiten – Details dazu findest du in den folgenden Abschnitten. Wir verkaufen keine Daten und zeigen keine Werbung.
Martha Mayer Kaibitsch
Guglgasse 14/110
1110 Wien, Österreich
E-Mail: support@dosify.app
Die zentralen App- und Nutzerdaten werden bei Supabase in der Region eu-central-1 (Frankfurt, Deutschland) gespeichert. Bei einzelnen technischen Dienstleistern können die in den nachfolgenden Abschnitten beschriebenen Datenübermittlungen in Drittländer stattfinden.
Supabase ist als Auftragsverarbeiter gemäß Art. 28 DSGVO vertraglich gebunden (Data Processing Agreement vorhanden). Welche Supabase-Gesellschaft Vertragspartner ist, richtet sich nach den vertraglichen Vereinbarungen; die öffentlich dokumentierten Standardbedingungen von Supabase nennen dafür je nach Bezugsweg unterschiedliche Gesellschaften, und das öffentliche Data Processing Addendum von Supabase sieht für Drittlandübermittlungen die EU-Standardvertragsklauseln vor. Mehr Infos: supabase.com/privacy
Für den Versand von Authentifizierungs-E-Mails (Passwort-Reset, E-Mail-Bestätigung) nutzen wir den Dienst Resend der Resend Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA. Resend verarbeitet dabei ausschließlich deine E-Mail-Adresse zum Zweck der Zustellung. Eine Datenübertragung in die USA erfolgt auf Basis der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Resend ist als Auftragsverarbeiter gemäß Art. 28 DSGVO vertraglich gebunden. Mehr Infos: resend.com/privacy
Zur Erkennung technischer Fehler nutzen wir Sentry (Functional Software Inc., San Francisco, USA). Übertragen werden technische Fehler- und Diagnosedaten. Dabei kann eine pseudonyme technische Nutzerkennung (User-ID/UUID) mitgesendet werden. E-Mail-Adresse, Benutzername und das IP-Adress-Feld (ip_address) werden im Ereignis vor dem Versand entfernt. Die an Sentry übermittelten Fehlerereignisse werden in der EU-Datenregion von Sentry gespeichert. Mit Sentry besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Sentry hat seinen Sitz in den USA. Trotz Speicherung der Fehlerereignisse in der EU-Datenregion können Zugriffe oder weitere Verarbeitungen in den USA sowie durch Unterauftragsverarbeiter in anderen Ländern erfolgen. Für Übermittlungen personenbezogener Daten aus dem EWR in die USA sieht der Vertrag das EU-US Data Privacy Framework vor. Soweit dieses nicht anwendbar ist, gelten die in den Vertrag einbezogenen Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an stabiler App-Funktion).
Wird ein gescannter Barcode nicht im Dosify-Katalog gefunden oder schlägt die Abfrage des Dosify-Katalogs fehl, sendet die App direkt von deinem Gerät eine Anfrage an die Open-Food-Facts-Datenbank (openfoodfacts.org). Dabei werden die Barcode-Nummer (EAN) und deine IP-Adresse übertragen. Die App übermittelt weder deine Dosify-Konto-ID noch deine E-Mail-Adresse oder deinen Anzeigenamen an Open Food Facts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Bis zum öffentlichen Start von Dosify am 02.10.2026 konnten Interessierte ihre E-Mail-Adresse über eine Warteliste auf dosify.app hinterlegen. Seit dem Start wird das Formular nicht mehr angeboten. Alle gespeicherten Adressen aus der Warteliste und aus der Testphase wurden am 03.10.2026 aus der Datenbank gelöscht. Verschlüsselte Sicherungskopien, die diese Adressen noch enthalten, werden spätestens bis zum 02.11.2026 gelöscht. Es wurde keine Benachrichtigung über die Verfügbarkeit der App versendet.
Zum Schutz von Anmeldung, Registrierung und Passwort-Zurücksetzung vor automatisiertem Missbrauch nutzen wir Cloudflare Turnstile der Cloudflare, Inc. Der Dienst unterscheidet dabei Menschen von automatisierten Zugriffen (Bots). Verarbeitet werden dabei client-seitige Signale, insbesondere IP-Adresse, TLS-Fingerprint, User-Agent-Header sowie der verwendete Sitekey und die zugehörige Origin. Die Prüfung wird in der App über eine eigene Seite von dosify.app (www.dosify.app/turnstile) angezeigt, die bei Vercel (Vercel Inc., USA, siehe Abschnitt 4h) gehostet wird; beim Aufruf dieser Seite kann Vercel technische Verbindungsdaten (z. B. IP-Adresse) verarbeiten. Das Ergebnis der Prüfung (ein Token) wird bei Anmeldung, Registrierung und Passwort-Zurücksetzung an Supabase (siehe Abschnitt 4) übermittelt. Cloudflare handelt bei Turnstile als Auftragsverarbeiter gemäß Art. 28 DSGVO, soweit Turnstile in unserem Auftrag bereitgestellt wird, sowie separat in eigener Verantwortlichkeit, soweit Cloudflare dieselben Signale zur Verbesserung der eigenen Bot-Erkennung von Turnstile verarbeitet. Rechtsgrundlage für unsere Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Authentifizierung vor automatisiertem Missbrauch und an der Sicherheit des Dienstes). Dabei kann eine Verarbeitung außerhalb des EWR stattfinden. Für internationale Datenübermittlungen stützt sich Cloudflare je nach Fall auf das EU-U.S. Data Privacy Framework bzw. auf EU-Standardvertragsklauseln einschließlich ergänzender Schutzmaßnahmen. Mehr Infos: cloudflare.com/turnstile-privacy-policy
Für die Verwaltung von Käufen und die geräteübergreifende Zuordnung deines Pro-Status nutzen wir RevenueCat (RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA). Bei jedem Login überträgt die App deine Supabase-Konto-ID als sogenannte „App User ID" an RevenueCat – unabhängig davon, ob du ein Pro-Abo abschließt. Das ermöglicht, deinen Pro-Status geräteübergreifend wiederherzustellen (z. B. nach einer Neuinstallation), ohne dass du dich dafür erneut gesondert identifizieren musst. Schließt du ein Pro-Abo über Google Play ab, verarbeitet RevenueCat zusätzlich Kauf-/Transaktionsdaten (u. a. den von Google Play bereitgestellten Kauftoken) zur Prüfung und Zuordnung deines Abo-Status. Ausdrücklich keine Kreditkarten- oder sonstigen Zahlungsdaten: dein Zahlungsmittel wird ausschließlich von Google Play selbst im nativen Kaufdialog erfasst und weder an Dosify noch an RevenueCat übertragen.
Rechtsgrundlage für die Übertragung der App User ID bei jedem Login ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer konsistenten Konto- und Berechtigungsarchitektur, die deinen Pro-Status zuverlässig und geräteübergreifend abbildet) – eine Vertragserfüllung (lit. b) scheidet hierfür aus, weil die Übertragung unabhängig von einem Abo-Abschluss bei jedem Login stattfindet und für Nutzer:innen ohne Pro-Abo kein entsprechender Vertrag besteht. Für die eigentlichen Kauf-/Transaktionsdaten von Pro-Abonnent:innen ist Rechtsgrundlage dagegen Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Pro-Nutzungsvertrags).
RevenueCat, Inc. verarbeitet diese Daten als Auftragsverarbeiter im Rahmen der Abo- und Berechtigungsverwaltung. RevenueCat stellt hierfür vertragliche Datenschutzregelungen einschließlich eines Data Processing Agreement bereit. Die Verarbeitung erfolgt ausschließlich nach unserer Weisung. Sie erfolgt auf Servern von Amazon Web Services in den USA; es findet damit eine Datenübermittlung in ein Drittland statt. Diese stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) einschließlich der Ergänzungen für das Vereinigte Königreich (UK IDTA) bzw. die Schweiz. RevenueCat setzt seinerseits weitere Unterauftragsverarbeiter ein (primär Amazon Web Services als Hosting-Infrastruktur); eine aktuelle Übersicht führt RevenueCat unter revenuecat.com/dpa. Mehr Infos: revenuecat.com/privacy
Über das Kontaktformular unter dosify.app/contact kannst du uns unabhängig von der App-Nutzung direkt schreiben. Dabei verarbeiten wir:
Zweck: Bearbeitung und Beantwortung deiner Kontaktanfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der
Bearbeitung und Beantwortung eingehender Anfragen).
Empfänger / Auftragsverarbeiter: Zur technischen Bereitstellung des Formulars nutzen wir Vercel (Vercel Inc., USA) für Hosting und die serverseitige Verarbeitung des Formulars. Für die Zustellung der Kontakt-E-Mail an support@dosify.app nutzen wir Resend (Resend Inc., USA) – denselben Dienst, den wir auch für Authentifizierungs-E-Mails einsetzen (siehe Abschnitt 4b), hier jedoch für einen eigenständigen Zweck: die Zustellung deiner Kontaktanfrage, nicht die Zustellung von Login- oder Passwort-E-Mails. Soweit eine Datenübertragung in die USA stattfindet, gilt das in Abschnitt 4b Gesagte entsprechend.
Speicherdauer: Wir speichern die über das Kontaktformular gesendeten Daten nicht in einer eigenen Datenbank. Die Nachricht wird per Resend direkt als E-Mail an support@dosify.app zugestellt und dort im E-Mail-Postfach abgelegt, bis wir sie im Rahmen der Bearbeitung löschen. Resend selbst führt zum Versand Protokolle gemäß eigener Richtlinie; Details siehe resend.com/privacy. Zu etwaigen technischen Verbindungsprotokollen bei Vercel liegt uns keine über die Standard-Dokumentation von Vercel hinausgehende Information vor.
Sofern in deiner App-Version angeboten, kannst du dich in der Dosify-App zusätzlich zu E-Mail und Passwort mit deinem Google-Konto anmelden („Mit Google fortfahren“). Die Anmeldung mit Google ist freiwillig; Dosify bleibt auch mit E-Mail und Passwort nutzbar. Die Anmeldung mit Google ist nur für neue Konten bzw. für Konten gedacht, die mit Google angelegt wurden. Ein bestehendes Dosify-Konto wird nicht allein wegen einer übereinstimmenden E-Mail-Adresse mit einem Google-Konto verknüpft.
Ablauf: Die Anmeldung läuft über den Authentifizierungsdienst Supabase (siehe Abschnitt 4) per OpenID Connect / OAuth. Die App öffnet dafür die Anmeldeseite von Google im Browser deines Geräts. Dort meldest du dich bei Google an; dein Google-Passwort erhält Dosify nicht. Anschließend kehrst du mit einem einmaligen Code in die App zurück, den die App bei Supabase gegen eine Dosify-Sitzung eintauscht. Die optionale Google-Anmeldung dient der Identifizierung bei Dosify. Welche Berechtigungen dabei angefordert und welche Kontoinformationen übermittelt werden, hängt von der verwendeten Google-Anmeldekonfiguration ab. Dosify verwendet etwaige Google-Zugriffstoken nicht für eigene spätere Zugriffe auf Google-Dienste.
Verarbeitete Daten: Von Google bzw. über Supabase erhalten wir deine E-Mail-Adresse samt dem Hinweis, ob Google sie als bestätigt meldet, sowie eine Google-Kennung (die dein Google-Konto im Anmeldedienst eindeutig bezeichnet). Supabase Auth speichert diese Angaben als Identität deines Dosify-Kontos. Google kann im Anmeldeablauf zusätzlich deinen Google-Namen und die Adresse (URL) deines Profilbilds mitliefern; Supabase Auth kann diese Angaben in den Auth-Metadaten deines Kontos speichern, auch wenn Dosify sie in der Benutzeroberfläche nicht verwendet. Als Anzeigename setzt Dosify automatisch den Teil deiner E-Mail-Adresse vor dem @-Zeichen ein (siehe Abschnitt 2.1). Zusätzlich entstehen die üblichen Sitzungsdaten (Anmelde-Token), die auf deinem Gerät gespeichert werden.
Zweck und Rechtsgrundlage: Anmeldung bei Dosify und Zuordnung zu deinem Dosify-Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anmeldung für die Nutzung deines Dosify-Kontos erforderlich ist.
Keine Einwilligung in Gesundheitsdaten: Die Anmeldung mit Google ist keine Einwilligung in die Verarbeitung von Gesundheitsdaten, und Dosify leitet aus den Daten deines Google-Kontos keine Einwilligung ab. Die Einwilligung nach Abschnitt 9 holt die App gesondert und ausdrücklich ein.
Empfänger und Rollen: Google stellt die Anmeldung als Identitätsanbieter bereit und verarbeitet die dabei anfallenden Daten für seinen Dienst grundsätzlich in eigener Verantwortlichkeit nach den Datenschutzhinweisen von Google: policies.google.com/privacy. Supabase Auth wickelt die Anmeldung für uns ab und handelt insoweit als Auftragsverarbeiter (siehe Abschnitt 4). Dosify übermittelt keine Supplement-, Einnahme- oder Gesundheitsdaten an Google.
Internationale Verarbeitung: Bei der Anmeldung mit Google kann eine Verarbeitung außerhalb des EWR nicht ausgeschlossen werden. Für die Verarbeitung durch Google bestimmen sich Ort und Garantien nach den Hinweisen von Google. Die Datenhaltung bei Supabase (Frankfurt) und die dort vorgesehenen Standardvertragsklauseln für Drittlandübermittlungen beschreibt Abschnitt 4; ein Zugriff oder eine Verarbeitung außerhalb des EWR ist dadurch nicht ausgeschlossen.
Speicherung und Löschung: Die Google-Identität bleibt gespeichert, solange dein Dosify-Konto besteht. Löschst du dein Konto in der App, wird sie zusammen mit dem Konto entfernt (siehe Abschnitt 6). Bei einem mit Google angelegten Konto verlangt die Kontolöschung eine erneute, aktuelle Anmeldung mit demselben Google-Konto; ohne diese Bestätigung wird nicht gelöscht. Dein Google-Konto selbst und die Verbindung zu Dosify in deinen Google-Kontoeinstellungen bleiben davon unberührt; sie verwaltest du bei Google.
Deine Daten werden nicht an Dritte verkauft, vermietet oder für Werbezwecke genutzt.
Eine Weitergabe erfolgt nur in folgenden Ausnahmefällen:
Du hast jederzeit das Recht auf:
Anfragen richtest du an: support@dosify.app
Wir antworten innerhalb von 30 Tagen.
Du hast außerdem das Recht, Beschwerde bei der österreichischen Datenschutzbehörde einzulegen:
www.dsb.gv.at
Dosify richtet sich an Personen ab 16 Jahren. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren.
Angaben zu Supplements, Einnahmen und, falls du sie einträgst, Medikamenten können Rückschlüsse auf deine Gesundheit zulassen. Wir behandeln sie deshalb vorsorglich wie Gesundheitsdaten im Sinne von Art. 9 DSGVO und verarbeiten sie nur auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Die Anmeldung bei Dosify – mit E-Mail und Passwort ebenso wie mit Google – ist selbst keine Einwilligung in die Verarbeitung von Gesundheitsdaten; die Einwilligung wird gesondert eingeholt. Bei der Registrierung mit E-Mail und Passwort erteilst du sie, indem du das entsprechende Kästchen aktiv anklickst. Bei einer Anmeldung mit Google kann das Konto technisch bereits angelegt sein, bevor du die Einwilligung erteilst; die App fragt sie dann in einem eigenen Schritt nach der ersten Anmeldung ab. Wir speichern dazu den Zeitpunkt und die Version des Einwilligungstextes. Die geschützten Funktionen der App, die Gesundheitsdaten betreffen, setzen eine gültige ausdrückliche Einwilligung voraus und sind ohne sie gesperrt. Bereits erteilte, gültige Einwilligungen bestätigter Bestandskonten bleiben bestehen. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du uns unter support@dosify.app schreibst oder dein Konto in der App löschst. Davon zu unterscheiden ist eine systemseitige Ungültigmachung, etwa wenn ein noch nicht bestätigtes Konto aus Sicherheitsgründen zurückgesetzt wird; sie ist kein freiwilliger Widerruf durch dich. Eine erneute Abfrage der Einwilligung erfolgt nur in App-Versionen, die den entsprechenden Einwilligungsablauf enthalten; für ältere App-Versionen ergibt sich aus dieser Erklärung keine rückwirkende Sperrung. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Die Inhalte in Dosify dienen der allgemeinen Information zur Nährstoff-Aufnahme und ersetzen keine ärztliche oder pharmazeutische Beratung. Dosify ist kein Medizinprodukt.
Wir können diese Datenschutzerklärung bei wesentlichen Änderungen aktualisieren. Das Datum am Anfang dieser Seite zeigt den Stand der aktuellen Version. Bei wesentlichen Änderungen informieren wir dich per E-Mail.