Datenschutzerklärung

Stand: September 2026.

1. Verantwortliche

URAY GmbH, Sonnhalde 4, 6287 Aesch LU, Schweiz · info@medlog.swiss. Anfragen zum Datenschutz bitte an diese Adresse.

2. Welche Daten wir bearbeiten

Kontodaten: Name, E-Mail, Adresse, Telefon (optional), Passwort (nur als Hash), Zeitpunkt der Einwilligung, Anmeldezeitpunkte.
Angaben zur Person (freiwillig): Geburtsdatum, Geschlecht, Grösse, Gewicht, gesundheitlicher Hintergrund, frühere Operationen, persönliches Ziel, mentale Grundeinstellung und Temperament (Selbsteinschätzung), Arbeitszeiten mit Tätigkeit, Körperhaltung und Stresslevel, Schlafgewohnheit.
Befunde (freiwillig): von dir hochgeladene Laborberichte, Arzt-/Spitalberichte und Bildgebungs-Befunde als PDF oder Foto samt der KI-Zusammenfassung (Werte, Diagnosen, Empfehlungen).
Tagebuchdaten: Fotos, Texte zu Essen, Aktivität und Befinden inkl. Symptomen und Medikamenten, Sprachaufnahmen (nur zur Umwandlung in Text, werden nicht gespeichert), Zeitpunkte.
Importierte Gesundheitsdaten: Whoop-Messwerte (Recovery, HRV, Ruhepuls, Schlaf, Strain) und Fitbit-Messwerte (Schlaf, Ruhepuls, HRV, SpO₂, Atemfrequenz, Schritte, aktive Minuten, Kalorien) – nur wenn du Whoop bzw. Fitbit verbindest oder eine CSV-Datei hochlädst.
Erzeugte Daten: Bilderkennung, Auswertungen, Chat-Verlauf.
Abo- und Zahlungsdaten: Abo-Status, Kündigung; Zahlungsdaten (Karte, TWINT, PayPal) verarbeitet ausschliesslich der Zahlungsdienstleister Stripe, wir erhalten keine Kartennummern – nur eine Kunden- und Abo-Kennung sowie den Zahlungsstatus.
Team-Daten (nur wenn du einer Team-Einladung zustimmst): Team-Zugehörigkeit, Zeitpunkt deiner Einwilligung, Freigaben (Fotos, KI-Fragen) und ein Zugriffsprotokoll (wer aus deinem Team wann welche Seite deines Tagebuchs angesehen hat).
Technische Daten: Server-Logs (IP-Adresse, Zeitpunkt, aufgerufene Seite) zur Sicherheit und Fehlersuche, 30 Tage.

Tagebuch- und Gesundheitsdaten sind besonders schützenswerte Personendaten. Wir bearbeiten sie nur mit deiner ausdrücklichen Einwilligung, die du beim Erstellen des Kontos gibst und jederzeit durch Löschen des Kontos widerrufen kannst.

3. Wozu

Ausschliesslich, um dir medLOG bereitzustellen: Speichern und Anzeigen deines Tagebuchs, Bilderkennung, Sprache-zu-Text, Auswertungen und Chat, Whoop-/Fitbit-Abgleich, Export und Berichte, Abo-Verwaltung und Support. Wir verwenden deine Daten nicht für Werbung, verkaufen sie nicht und geben sie nicht an Dritte weiter, ausser an die unten genannten Auftragsbearbeiter.

4. Wo und wie wir speichern

Datenbank und Bilder liegen auf einem von URAY betriebenen Server in einem Rechenzentrum in Deutschland (Frankfurt), verwaltet von der Webhoster.de.
Bilder werden vor dem Speichern von allen Metadaten befreit (insbesondere GPS-Standort) und mit AES-256 verschlüsselt abgelegt; der Schlüssel liegt getrennt von den Daten. Auslieferung nur über dein angemeldetes Konto.
Auch deine Texte – Einträge (Essen, Aktivität, Befinden), Foto-Erkennung, Auswertungen, Chat, Ziel und Hintergrund, Operationen, mentale Grundeinstellung, Schlaf-Besonderheiten, Arbeitstätigkeit, Medikamente und wiederholende Tätigkeiten – liegen in der Datenbank mit AES-256 verschlüsselt. Entschlüsselt wird nur in der Anwendung selbst, wenn du sie ansiehst oder die Auswertung erstellt wird; in Datenbank-Dumps und -Backups sind sie nicht lesbar.
Passwörter werden nur als salted PBKDF2-Hash gespeichert. Die Verbindung ist durchgehend TLS-verschlüsselt.
Backups sind verschlüsselt und werden nach 30 Tagen überschrieben.

4a. Teams: Tagebuch mit Praxis, Beratung oder Trainer teilen

Standardmässig siehst nur du dein Tagebuch. Lädt dich eine Praxis, Beratung oder ein Trainer in ein Team ein, entscheidest du beim Annehmen der Einladung mit einer ausdrücklichen Einwilligung, ob die Betreuer dieses Teams dein Tagebuch und deine Auswertungen lesen dürfen. Dabei gilt:

Betreuer sehen deine Einträge, Auswertungen und importierten Messwerte nur lesend und nur für die Zeit deiner Mitgliedschaft. Ändern oder erfassen können sie nichts.
Fotos und KI-Fragen zu deiner Person (z.B. «welche Mahlzeiten gingen den Beschwerden voraus?») sind getrennt freizugeben – beides kannst du jederzeit im Konto ein- oder ausschalten. Antworten auf solche Fragen werden nicht in deinem Chat gespeichert; die Frage wird im Zugriffsprotokoll vermerkt.
Jeder Zugriff wird protokolliert (wer, wann, welche Seite) und ist für dich im Konto einsehbar.
Du kannst das Team jederzeit verlassen – der Zugriff endet sofort. Dein Tagebuch bleibt in deinem eigenen Konto. Beim Löschen deines Kontos werden auch Team-Zugehörigkeit und Protokoll gelöscht.
Die Betreuer (z.B. eine Arztpraxis) sind für ihren Umgang mit den gelesenen Daten selbst verantwortlich, insbesondere für das Berufsgeheimnis und dafür, dass nur berechtigte Personen Betreuer-Zugang haben.

5. Auftragsbearbeiter

OpenAI (USA) – KI-Auswertung, Bilderkennung, Sprache-zu-Text und Chat über die OpenAI-API. Übermittelt werden die für die jeweilige Funktion nötigen Einträge, Bilder bzw. Audiodaten sowie deine Angaben zur Person (Alter, Geschlecht, Grösse, Gewicht, Hintergrund, Operationen, mentale Grundeinstellung, Temperament, Arbeitszeiten, Schlafgewohnheit), dein Ziel, deine Medikamentenliste und deine wiederholenden Tätigkeiten (ohne Name, E-Mail, Adresse und Telefon). OpenAI verwendet API-Daten nicht zum Training seiner Modelle. (Ergänzen: Zero-Data-Retention / EU-Datenresidenz, sobald für das Konto eingerichtet; Datenübermittlung in die USA auf Basis der Standardvertragsklauseln bzw. des Swiss-US Data Privacy Framework.)
Befunde: Zum Auslesen wird das hochgeladene Dokument einmalig an OpenAI übermittelt; die KI übernimmt Name, Adresse, Geburtsdatum und Versichertennummer nicht in die Zusammenfassung. In die laufenden Auswertungen geht nur die Zusammenfassung ein, nie die Datei. Die Datei liegt verschlüsselt auf unserem Server.
ASPSMS (VADIAN.NET AG, St. Gallen, Schweiz) – nur für den Anmeldecode per SMS: übermittelt werden deine Mobilnummer und der Code, sonst nichts. Ohne Mobilnummer kommt der Code per E-Mail.
Whoop Inc. (USA) – nur wenn du dein Whoop-Konto verbindest: medLOG ruft deine Messwerte über die Whoop-Schnittstelle ab. Die Verbindung kannst du jederzeit im Konto trennen.
Google LLC (USA, Google Health API für Fitbit und Pixel Watch) – nur wenn du dein Google-Konto verbindest: medLOG ruft deine Tageswerte über die Google-Health-Schnittstelle ab (nur lesend). Die Verbindung kannst du jederzeit im Konto trennen oder in deinem Google-Konto unter «Drittanbieter-Zugriff» widerrufen. Ausserdem bindet die Seite «Impressum» eine Google-Maps-Karte ein; beim Aufruf dieser Seite werden technische Daten (IP-Adresse) an Google übertragen.
Stripe Payments Europe, Ltd., Dublin, Irland – Abwicklung der Abo-Zahlung (Kreditkarte, TWINT, PayPal). Stripe erhält Name, E-Mail-Adresse und die Zahlungsangaben, die du auf der Stripe-Zahlungsseite eingibst; Datenschutzerklärung: stripe.com/ch/privacy.
Webhoster.de (Deutschland) – Betrieb des Servers.

6. Aufbewahrung und Löschung

Deine Daten bleiben gespeichert, solange dein Konto besteht. Du kannst jederzeit einzelne Einträge löschen oder im Konto alle Daten exportieren und das Konto vollständig löschen; die Löschung erfolgt sofort in der Datenbank und im Dateisystem und spätestens nach 30 Tagen in den Backups. Nach Ende eines Abos werden die Daten nach 90 Tagen gelöscht, sofern du das Konto nicht vorher selbst löschst. Gesetzliche Aufbewahrungspflichten für Rechnungsdaten (10 Jahre) bleiben vorbehalten.

6a. Anmeldung in zwei Schritten

Weil medLOG Gesundheitsdaten enthält, verlangt die Anmeldung neben E-Mail und Passwort einen Code, den wir dir per SMS (wenn eine Mobilnummer hinterlegt ist) oder per E-Mail schicken. Codes sind 10 Minuten gültig; gespeichert wird nur ihr Hash. Geräte, die du beim Anmelden «merken» lässt, brauchen 90 Tage keinen Code – im Konto unter «Sicherheit» kannst du alle gemerkten Geräte jederzeit vergessen lassen oder den zweiten Schritt abwählen (nicht für Admins und Team-Betreuer/innen, die fremde Daten sehen).

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Datenherausgabe (Export im Konto) und Widerruf der Einwilligung. Schreib uns an info@medlog.swiss. Du kannst dich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren.

8. Cookies

medLOG setzt nur technisch notwendige Cookies: eines für die Anmeldung, eines für die gewählte Sprache und Darstellung und – wenn du beim Anmeldecode «Dieses Gerät merken» wählst – eines, das dieses Gerät bis zu 90 Tage als vertraut kennzeichnet (ein Zufallswert; bei uns liegt nur sein Hash). Es gibt kein Tracking und keine Werbe-Cookies.

9. Änderungen

Wir passen diese Erklärung an, wenn sich medLOG oder die Rechtslage ändert. Die aktuelle Fassung ist immer unter medlog.swiss/datenschutz abrufbar; wesentliche Änderungen teilen wir dir im Konto mit.