Datenschutzerklärung
Endumi · Stand: 8. Oktober 2026
Das Wichtigste zuerst
- Deine Einträge liegen zuerst auf deinem Gerät. Ohne Konto verlassen sie es nicht.
- Es gibt keine Werbung und keine Weitergabe zu Werbezwecken.
- Wir zählen, welche Bildschirme der App genutzt werden: ohne Kennung auf deinem Gerät, ohne dein Konto und ohne deine Einträge (2.8).
- Der Server steht in Frankfurt am Main.
- Angaben zu Beschwerden sind Gesundheitsdaten. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung.
- Du kannst deine Daten jederzeit in der App exportieren und dein Konto dort selbst löschen.
1. Wer für die Verarbeitung verantwortlich ist
Timo Scholz-Fritsch
Endumi
Kaiserallee 12
58511 Lüdenscheid
Deutschland
E-Mail: hello@endumi.com
Einen Datenschutzbeauftragten haben wir nicht bestellt. Eine Pflicht dazu besteht nach § 38 BDSG erst ab 20 Personen, die ständig mit der Verarbeitung beschäftigt sind.
2. Was Endumi verarbeitet
2.1 Was auf deinem Gerät bleibt
Du kannst Endumi benutzen, ohne ein Konto anzulegen. Dann liegen deine Angaben ausschließlich im app-eigenen Speicher deines Geräts und werden an keinen Server übertragen. Das betrifft:
- Einträge zu Schmerz, Schmerzorten, Zyklustag, Symptomen, Auslösern, Maßnahmen, Auswirkungen auf den Alltag und freie Notizen
- deine Angabe zur Lebensphase
- Antworten aus dem Einstieg: Beschwerdetage pro Monat, Zahl der Arztgespräche, dein Ziel, deine Belastungen
- vorbereitete Arzttermine samt Fragen und Datum
- deine Antrags-Mappe: eingetragene Ärztinnen und Praxen, abgehakte Unterlagen und eine selbst eingetragene Frist. Diese Angaben bleiben auch mit Konto auf dem Gerät und verlassen es nur in der PDF, die du selbst teilst.
- deine Behandlungen in der Endo-Akte: was, seit wann, bei wem, warum beendet und deine Notizen. Sie bleiben auf dem Gerät und verlassen es nur in Unterlagen, die du selbst teilst.
- deine Befunde in der Endo-Akte: Fotos und PDFs von Arztbriefen, OP-Berichten und anderen Unterlagen, dazu Titel, Datum, Art und Praxis. Die Dateien liegen im geschützten Speicher der App auf deinem Gerät und werden nicht hochgeladen, außer verschlüsselt in deiner Sicherung, wenn du sie einrichtest (2.2). Kamera und Fotos nutzt Endumi nur, wenn du selbst einen Befund ablegst. Endumi liest keine Inhalte aus.
- deine Selbstversuche: Name, Bereich, Zeitraum und deine eigene Notiz dazu. Auch sie bleiben auf dem Gerät; der Vergleich wird dort aus deinen Einträgen berechnet und verlässt es nur im Arzt-Report oder in der Antrags-Mappe, die du selbst teilst.
- deine Einwilligungen mit Zeitpunkt, Textfassung und Sprache
- eine zufällig erzeugte Kennung deines Geräts, die Einträge und Einwilligungen zusammenhält
Lebensphase, Einwilligungen, Gerätekennung und Anmeldedaten liegen im verschlüsselten Systemspeicher deines Geräts — Keychain unter iOS, Keystore unter Android. Die Einträge selbst liegen im app-eigenen Speicher, den nur Endumi lesen kann; für den verschlüsselten Speicher sind sie zu umfangreich.
2.2 Was bei einem Konto übertragen wird
Legst du ein Konto an, werden die vorhandenen Angaben nachgetragen und ab dann bei jeder Änderung abgeglichen. Gespeichert wird:
| Tabelle | Inhalt |
|---|---|
| profiles | Kontokennung, Sprache, Lebensphase, Zeitpunkt der letzten Änderung |
| tracking_entries | deine Einträge wie unter 2.1 beschrieben, verbunden mit deiner Kontokennung |
| consents | Verlauf deiner Einwilligungen: Zweck, erteilt oder verweigert, Textfassung, Sprache, Zeitpunkt, Zusammenhang |
Den Einwilligungsverlauf führen wir, weil Art. 7 Abs. 1 DSGVO den Nachweis verlangt. Er wird nicht gelöscht, wenn du eine Einwilligung widerrufst — sonst wäre der Widerruf selbst nicht belegbar.
Verschlüsselte Sicherung der Endo-Akte (freiwillig, mit Plus). Richtest du sie ein, sichert die App deine Endo-Akte in deinem Konto: Einträge, Arzttermine, Antrags-Mappe, Behandlungen, Selbstversuche, Befunde samt Dateien, Gesundheitsprofil und Wissen-Merkliste. Nicht dabei sind Einwilligungen, die Gerätekennung und dein persönlicher Kontakt aus dem Relief Mode. Verschlüsselt wird auf deinem Gerät (AES-256-GCM) mit einem Schlüssel, der aus deinem Sicherungs-Passwort entsteht. Das Passwort verlässt dein Gerät nicht. Wir können die Sicherung deshalb nicht lesen und das Passwort nicht zurücksetzen. Auf dem Server liegen die verschlüsselten Daten, der mit deinem Passwort verschlüsselte Schlüssel, Größe und Zahl der Dateien sowie Zeitpunkte und Wortlaut deiner Einwilligung (Tabelle akte_sicherungen, Speicher akte-sicherungen). Solange die Sicherung eingerichtet ist, aktualisiert die App sie höchstens einmal am Tag. Zurückholen und Löschen gehen jederzeit, auch ohne Plus.
2.3 Community
Die Community kannst du lesen, ohne selbst zu schreiben. Schreibst du, speichern wir deine Beiträge samt dem Thema, das du ihnen gibst, deine Antworten auf Beiträge, deine Reaktionen und, falls du einen Beitrag oder eine Antwort meldest, die Meldung samt Grund. Gemeldete Inhalte landen in einer Prüfliste, auf die nur die Moderation zugreift. Ob du Antworten auf deine Beiträge schon gesehen hast, merkt sich nur dein Gerät. Blockierst du ein anderes Konto, speichern wir, wer wen seit wann blockiert hat; die blockierte Person erfährt davon nichts. Sperrt die Moderation ein Konto für die Community, speichern wir Zeitpunkt und Begründung am Konto.
Merkst du dir einen Beitrag, speichern wir, welchen Beitrag du gemerkt hast und wann. Weil das etwas über deine Gesundheit verraten kann, fragen wir dafür dieselbe Einwilligung ab wie fürs Schreiben. Diese Merkliste siehst nur du; wer den Beitrag geschrieben hat, erfährt davon nichts. Nimmst du einen Beitrag aus der Merkliste oder wird er gelöscht, entfällt auch der Eintrag. Widerrufst du die Einwilligung, löschen wir deine ganze Merkliste.
Beiträge und Antworten erscheinen unter einem Pseudonym und sind für alle angemeldeten Nutzerinnen sichtbar. Private Nachrichten zwischen Nutzerinnen gibt es nicht. Ein Pseudonym macht Angaben über deine Beschwerden nicht anonym: wer dich kennt, kann dich wiedererkennen. Was du dort schreibst, entscheidest du bei jedem Beitrag selbst.
2.4 Anmeldung
Für ein Konto brauchen wir eine E-Mail-Adresse. Du kannst dich per Einmal-Code an deine Adresse anmelden oder über „Mit Apple anmelden" beziehungsweise „Mit Google anmelden". Bei Apple kannst du deine echte Adresse verbergen; wir erhalten dann die Weiterleitungsadresse von Apple und sonst nichts. Google schickt bei der Anmeldung auch deinen Namen und die Adresse deines Profilbilds mit; beides löschen wir sofort und speichern nur die E-Mail-Adresse und die Kennung, die Google für dein Konto vergibt. Nach deinem Namen fragen wir bei Apple gar nicht.
2.5 Endumi Plus
Kauf und Verlängerung laufen über den App Store beziehungsweise Google Play. Wir erhalten weder deine Zahlungsdaten noch deine Anschrift. Zur Verwaltung der Berechtigung setzen wir RevenueCat ein; dorthin gehen der Kaufbeleg des Stores und eine Kennung: vor der Anmeldung eine anonyme Kennung deiner Installation, danach die Kennung deines Kontos, damit Plus auch auf einem neuen Gerät gilt. RevenueCat wertet die Kaufdaten für Abo-Statistiken aus (etwa wie viele Abos laufen oder gekündigt werden). Eine Auswertung deiner Nutzung der App findet dabei nicht statt.
2.6 Erinnerungen und Benachrichtigungen
Erinnerungen an einen abgelaufenen Wärme-Timer und an einen von dir eingetragenen Termin werden auf deinem Gerät geplant und dort ausgelöst. Dafür gibt es keinen Push-Dienst und keinen Server, der etwas zu senden hätte. Endumi meldet sich nie von allein: beide Anlässe folgen einer Handlung von dir.
Ausnahmen sind Benachrichtigungen, die du ausdrücklich erlaubst. Dafür speichern wir eine Gerätekennung, die Apple oder Google für dein Gerät vergibt, zusammen mit der Plattform und dem Zeitpunkt. Es gibt genau diese Anlässe:
- „Schreib uns“ (2.7): wir haben auf deine Nachricht geantwortet. Die Benachrichtigung lautet „Antwort von Endumi“.
- Community (2.3): jemand hat auf deinen Beitrag oder auf eine deiner Antworten geantwortet. Das ist eingeschaltet, sobald du deinem Gerät Benachrichtigungen für Endumi erlaubst, und lässt sich im Profil abschalten. Höchstens einmal je Gespräch pro Stunde. Die Benachrichtigung lautet „Neue Antwort“. Ob du das abgeschaltet hast, speichern wir in deinem Konto.
- Moderation: nur für Menschen aus unserem Team, die Meldungen prüfen.
Benachrichtigungen enthalten nie einen Text aus einer Nachricht oder aus der Community und kein Pseudonym. Zugestellt werden sie über den Push-Dienst von Expo und dann über Apple oder Google. Andere Benachrichtigungen schicken wir über diesen Weg nicht.
Beim Abmelden und beim Löschen des Gesprächs schalten wir die Kennung ab und löschen sie 30 Tage später. Die Erlaubnis selbst kannst du jederzeit in den Einstellungen deines Geräts zurücknehmen.
2.7 Schreib uns
Über „Schreib uns“ im Profil erreichst du direkt unser Team. Dafür brauchst du ein Konto, damit die Antwort bei dir ankommt. Vor der ersten Nachricht fragen wir dich um Erlaubnis und speichern den Wortlaut deiner Zustimmung.
Gespeichert werden deine Nachrichten, unsere Antworten, der Zeitpunkt, wann eine Nachricht gelesen wurde, deine E-Mail-Adresse zur Anzeige im Postfach und die Version der App. Die Nachrichten lesen Menschen aus unserem Team, kein automatisches System. Schreibst du über deine Gesundheit, verarbeiten wir diese Angaben nur, um dir zu antworten. Medizinische Beratung geben wir nicht.
Du kannst das Gespräch jederzeit selbst löschen. Damit widerrufst du auch deine Einwilligung. Zwölf Monate nach der letzten Nachricht löschen wir das Gespräch automatisch. Der Kontakt bleibt auch dann möglich, wenn du die Verarbeitung unter „Deine Daten“ eingeschränkt hast, damit du uns in jedem Fall erreichst.
2.8 Auswertung der Nutzung
Wir möchten sehen, wo die App hakt: wie weit Nutzerinnen im Einstieg kommen und ob sie ein Abo abschließen. Dafür zählt die App, welche Bildschirme geöffnet werden, und überträgt das an den Dienst PostHog.
Übertragen wird: welcher Bildschirm des Einstiegs erreicht wurde, ob ein erster Eintrag gemacht oder übersprungen wurde (nicht, was darin steht), welche Schritte der Plus-Seite geöffnet wurden, welcher Tarif gewählt und ob ein Kauf begonnen, abgeschlossen oder abgebrochen wurde, außerdem das Öffnen der App sowie technische Angaben wie App-Version, Betriebssystem und Gerätetyp.
Die Zählung ist so gebaut, dass sie dich nicht wiedererkennt. Auf deinem Gerät wird dafür nichts gespeichert und nichts ausgelesen: jedes Öffnen der App bekommt eine neue zufällige Kennung, die nur im Arbeitsspeicher liegt und mit dem Schließen verfällt. Nicht übertragen werden deine Einträge, deine Antworten im Einstieg (etwa Lebensphase, Beschwerdetage oder Ziel) und andere Angaben zu deiner Gesundheit. Die Zählung wird nicht mit deinem Konto verbunden, es werden keine Personenprofile angelegt, es gibt keine Aufzeichnung von Sitzungen und keine Ortsbestimmung. Deine IP-Adresse wird zur Übertragung verarbeitet, aber nicht gespeichert.
Weil die Zählung dich nicht wiedererkennt, können wir einzelne Ereignisse keiner Person zuordnen und deshalb auch nicht einzeln herausgeben oder löschen. Wenn du der Auswertung widersprechen möchtest (Art. 21 DSGVO), schreib uns; die Adresse steht unter 1.
2.9 Was Endumi nicht tut
Endumi enthält keine Werbenetzwerke und keine Werbekennungen und sendet keine Absturzberichte an Dritte. Die Nutzung wird nur gezählt, ohne dich wiederzuerkennen (2.8). Es gibt keine Profilbildung und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.
2.10 Diese Website
Die Website endumi.com wird über Cloudflare ausgeliefert. Beim Aufruf einer Seite verarbeitet Cloudflare technisch notwendige Angaben: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Browser und das Betriebssystem. Das ist nötig, um die Seite zuzustellen und Angriffe abzuwehren.
Die Website setzt keine Cookies und lädt keine Inhalte von Dritten nach. Schriften und Bilder liegen auf demselben Server.
Wir zählen Seitenaufrufe mit Cloudflare Web Analytics. Dafür lädt jede Seite ein kleines Skript von Cloudflare. Es übermittelt die aufgerufene Adresse, die Seite, von der du kamst, Browser, Betriebssystem, Gerätetyp und Ladezeiten. Cloudflare setzt dafür keine Cookies, legt nichts in deinem Browser ab und erkennt dich bei einem späteren Besuch nicht wieder. Wir sehen nur zusammengefasste Zahlen, etwa wie oft ein Artikel gelesen wurde und von welcher Website Besucherinnen kamen, keine IP-Adressen und keine einzelnen Besuche.
3. Rechtsgrundlagen
| Verarbeitung | Grundlage |
|---|---|
| Einträge, Lebensphase, Übersicht, Arzt-Report | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), zusammen mit Art. 6 Abs. 1 lit. b DSGVO |
| Konto und Anmeldung | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Beiträge, Antworten und Merkliste in der Community | Art. 9 Abs. 2 lit. a DSGVO (gesonderte Einwilligung) |
| Auswertung für Forschung in anonymisierter Form | Art. 9 Abs. 2 lit. a DSGVO (freiwillig, voreingestellt aus) |
| Auswertung der Nutzung (2.8) | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Fehler und Hürden in der App zu finden). Es wird nichts auf dem Gerät gespeichert oder ausgelesen. |
| Nachweis der Einwilligungen | Art. 6 Abs. 1 lit. c DSGVO (Pflicht aus Art. 7 Abs. 1 DSGVO) |
| Moderation gemeldeter Beiträge und Antworten | Art. 6 Abs. 1 lit. f DSGVO (Schutz der übrigen Nutzerinnen) |
| Verschlüsselte Sicherung der Endo-Akte | Art. 9 Abs. 2 lit. a DSGVO (gesonderte Einwilligung), zusammen mit Art. 6 Abs. 1 lit. b DSGVO |
| Nachrichten über „Schreib uns“ | Art. 9 Abs. 2 lit. a DSGVO (gesonderte Einwilligung), zusammen mit Art. 6 Abs. 1 lit. b DSGVO |
| Auslieferung der Website | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und erreichbaren Website) |
| Reichweitenmessung der Website (2.10) | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, zu erfahren, welche Inhalte gelesen werden). Es werden keine Cookies gesetzt und nichts im Browser gespeichert. |
| Gerätekennung für Benachrichtigungen | Art. 6 Abs. 1 lit. a DSGVO (Erlaubnis im Systemdialog), § 25 Abs. 1 TDDDG |
Jede Einwilligung kannst du jederzeit für die Zukunft widerrufen. Widerrufst du die Einwilligung zur Verarbeitung deiner Einträge, endet die Nutzung und die Daten werden gelöscht. Der Widerruf der übrigen Einwilligungen schränkt die Nutzung nicht ein.
4. Wer noch mit den Daten zu tun hat
| Dienstleister | Wofür | Wo |
|---|---|---|
| Supabase | Datenbank, Anmeldung, Server | Rechenzentrum Frankfurt am Main (AWS eu-central-1) |
| RevenueCat | Verwaltung der Plus-Berechtigung | USA |
| PostHog, Inc. | Auswertung der Nutzung (2.8) | Server in Frankfurt am Main (PostHog Cloud EU), Sitz in den USA |
| Expo (650 Industries, Inc.) | Zustellung von Benachrichtigungen (2.6) | USA |
| Cloudflare, Inc. | Auslieferung und Reichweitenmessung der Website endumi.com | weltweites Netz, Sitz in den USA |
| Apple, Google | Kauf und Verlängerung, Anmeldung mit Apple oder Google | je nach Store |
Mit Supabase, RevenueCat, PostHog und Expo bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO; sie sind Bestandteil der jeweiligen Nutzungsbedingungen. Für die Übermittlung in die USA gelten die Standardvertragsklauseln der EU-Kommission. Cloudflare ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert; mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung. Apple und Google handeln beim Kauf als eigene Verantwortliche; dafür gelten deren Datenschutzhinweise.
5. Wie lange gespeichert wird
- Daten auf dem Gerät bleiben, bis du sie löschst oder die App entfernst.
- Daten im Konto bleiben, solange das Konto besteht.
- Löschst du dein Konto, werden Profil, Einträge, Beiträge, Antworten, Nachrichten an uns und deine Sicherung unwiderruflich entfernt.
- Die Sicherung der Endo-Akte bleibt, bis du sie in der App löschst oder dein Konto löschst. Endet dein Plus-Abo, wird sie nicht mehr aktualisiert, bleibt aber abrufbar.
- Ein Gespräch über „Schreib uns“ wird zwölf Monate nach der letzten Nachricht gelöscht, oder sofort, wenn du es selbst löschst.
- Eine Gerätekennung für Benachrichtigungen wird 30 Tage nach dem Abschalten gelöscht, und mit dem Konto sofort.
- Ereignisse aus der Auswertung der Nutzung (2.8) werden nach zwölf Monaten gelöscht.
- Der Einwilligungsverlauf wird drei Jahre nach Ende der Nutzung aufbewahrt. Die Frist folgt der regelmäßigen Verjährung nach § 195 BGB, innerhalb derer der Nachweis gebraucht werden kann.
- Anonymisierte Auswertungen für Forschung lassen sich dir nicht mehr zuordnen und bleiben bestehen.
6. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO).
Zwei davon kannst du in der App sofort selbst ausüben:
- Daten mitnehmen: Profil → Einwilligungen, Export und Löschung → Daten exportieren. Die Datei entsteht auf deinem Gerät und enthält Einträge, Profilangaben, den Einwilligungsverlauf, die Gerätekennung sowie deine Community-Beiträge, Antworten und Merkliste.
- Konto löschen: Profil → Einwilligungen, Export und Löschung → Konto und alle Daten löschen. Der Vorgang läuft sofort und ohne Rückfrage bei uns. Ohne App geht es per E-Mail, siehe Konto löschen.
Für alles Weitere schreib an hello@endumi.com. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Bundesland deines Wohnsitzes.
Für uns zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
7. Kinder und Jugendliche
Endumi richtet sich an Personen ab 16 Jahren. Bist du jünger, brauchen wir die Einwilligung deiner Eltern, bevor wir deine Daten verarbeiten dürfen (Art. 8 DSGVO).
8. Änderungen dieser Erklärung
Ändert sich, was Endumi verarbeitet, ändern wir diese Seite und setzen ein neues Datum darüber. Betrifft die Änderung eine Einwilligung, fragen wir dich in der App erneut, statt es hier stillschweigend zu ändern.