Privacy Policy / Datenschutzerklärung

Einleitung

Stand: 8. Juni 2026

Diese Datenschutzerklärung gilt sowohl für die Website sd20.org (Abschnitt 2) als auch für die mobile sd20-App (Abschnitt 3). Die gemeinsamen Abschnitte 4–10 gelten für beide.

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten ist:

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt. Bei Fragen wenden Sie sich bitte an die vorstehende Adresse.

2. Nutzung der Website sd20.org

2.1 Server-Logfiles

Beim Zugriff auf die Website werden automatisch technische Zugriffsdaten erfasst: Browsertyp und -version, Betriebssystem, Referrer-Website, aufgerufene Unterseiten, Datum und Uhrzeit des Zugriffs, IP-Adresse, Internetdienstanbieter und ähnliche Daten, die im Falle von Angriffen der Gefahrenabwehr dienen.

Zweck: korrekte Auslieferung der Inhalte, Optimierung und Sicherheit der Website. Diese Daten werden getrennt von anderen personenbezogenen Daten gespeichert und vom Hoster (goneo) in der Regel nach 7 Tagen gelöscht.

Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

2.2 Cookies

Die Website verwendet ausschließlich technisch notwendige Cookies (z. B. Session-Cookies für Kernfunktionen). Es werden keine Tracking-, Werbe- oder Analyse-Cookies und keine Analyse-/Marketingdienste Dritter eingesetzt.

Sie können Cookies jederzeit über Ihre Browsereinstellungen verhindern oder bereits gesetzte Cookies löschen; einzelne Funktionen der Website können dann nicht verfügbar sein.

Rechtsgrundlage: Speicherung unbedingt erforderlicher Cookies nach § 25 Abs. 2 TDDDG; im Übrigen berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

2.3 Kontakt (Formular/E-Mail)

Wenn Sie uns über ein Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir die von Ihnen angegebenen Daten (z. B. Name, E-Mail-Adresse, Ihre Nachricht), um Ihre Anfrage zu bearbeiten. Diese Daten werden nicht an Dritte weitergegeben. Sie werden gelöscht, sobald sie nicht mehr erforderlich sind und keine Aufbewahrungspflichten entgegenstehen.

Rechtsgrundlage: Vertragsanbahnung/-erfüllung (Art. 6 Abs. 1 lit. b DSGVO) oder berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

3. Nutzung der sd20-App

Die sd20-App unterstützt Bildung, Selbstbeobachtung, Forschung und Citizen Science rund um Schlaf und Träume. Sie ist kein Medizinprodukt und nicht für die Diagnose, Therapie oder Überwachung von Krankheiten bestimmt.

Datenminimierung durch Technikgestaltung: Die meisten Inhaltsdaten – insbesondere Ihre Schlaf- und Traumtagebücher, Fragebögen, Messreihen und über Bluetooth erfasste Biosignale – werden ausschließlich lokal auf Ihrem Gerät gespeichert. Zum Start gibt es für diese Inhaltsdaten keinen zentralen Server. Eine Übertragung erfolgt nur in den nachfolgend genannten Fällen.

3.1 Lokal auf dem Gerät verarbeitete Daten (keine Übertragung an uns)

Diese Daten verbleiben auf dem Gerät, sofern Sie sie nicht selbst exportieren. Sie können sie jederzeit exportieren und löschen.

Rechtsgrundlage: lokale Verarbeitung in Ihrem Herrschaftsbereich; soweit wir Daten verarbeiten, Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO) und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

3.2 Nutzerprofil (serverseitig)

Wenn Sie ein Profil anlegen, werden die von Ihnen angegebenen Profildaten auf unseren Servern (sd20.org, gehostet bei goneo) gespeichert und mit Ihrem Gerät synchronisiert: Anzeigename/Nickname, Stadt, Land, Standortkoordinaten, Kurzbiografie, Profilbild, Push-Token und eine Nutzerkennung.

Zweck: Profil- und Community-Funktionen (einschließlich der Anzeige von Meetups in Ihrer Nähe, siehe 3.3) und Zuordnung der von Ihnen erstellten Inhalte.

Rechtsgrundlage: Einwilligung / Vertragserfüllung (Art. 6 Abs. 1 lit. a, b DSGVO).

3.3 Standortdaten

Mit Ihrer Erlaubnis ermittelt die App Ihren Standort (Koordinaten) und übermittelt ihn an unsere Server, wo er als Teil Ihres Profils gespeichert wird.

Zweck: Anzeige und Benachrichtigung über Veranstaltungen/Meetups in Ihrer Nähe (Community-Funktion, typischerweise in einem Umkreis von ca. 10 km).

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Jederzeit in den Geräteeinstellungen widerrufbar.

3.4 Push-Benachrichtigungen (Firebase Cloud Messaging)

Für Erinnerungen/Benachrichtigungen nutzt die App Firebase Cloud Messaging (FCM) der Google Ireland Limited / Google LLC; ein gerätespezifisches Push-Token wird an Google übermittelt. Es werden keine weiteren Firebase-Dienste (Analytics/Crashlytics) verwendet.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Benachrichtigungen müssen unter Android/iOS ausdrücklich erlaubt werden. Empfänger/Drittland: Google – siehe Abschnitte 4/5.

3.5 KI-/LLM-Funktionen („Cook"-Assistent)

Drei vom Nutzer wählbare Modi:

Hinweis: Geben Sie keine sensiblen Gesundheitsdaten in die KI ein, wenn Sie eine Übertragung an externe Anbieter vermeiden möchten. Im lokalen Modus erfolgt keine Übertragung.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a; für gesundheitsbezogene Inhalte Art. 9 Abs. 2 lit. a DSGVO) durch Ihre aktive Auswahl/Nutzung.

3.6 App-Berechtigungen

Erteilte Berechtigungen können jederzeit in den Geräteeinstellungen widerrufen werden.

3.7 Kontolöschung

Sie können Ihr Konto direkt in der App löschen (Profil → „Konto löschen"). Dabei werden Ihr serverseitiges Profil (einschließlich Standort, Profilbild, KI-Zugang) und die lokalen Daten auf dem Gerät gelöscht. Alternativ genügt eine Nachricht an info@sd20.org.

4. Empfänger und Auftragsverarbeiter

Eine Weitergabe von Daten erfolgt nur im für die genannten Zwecke erforderlichen Umfang:

Mit diesen Auftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

5. Übermittlung in Drittländer

Hosting (sd20.org, goneo) und die KI-Verarbeitung der Institute-API (Azure, Germany West Central) finden in Deutschland statt – somit liegt keine Drittlandübermittlung vor. Eine Verarbeitung außerhalb der EU/des EWR (insbesondere in den USA) kann bei Google (FCM) erfolgen sowie – bei Nutzung eines eigenen API-Schlüssels – bei dem von Ihnen gewählten Anbieter; abgesichert durch geeignete Garantien nach Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln) oder das EU-US Data Privacy Framework. Im lokalen KI-Modus erfolgt keine Übermittlung.

6. Speicherfristen

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung dieser Rechte genügt eine Nachricht an info@sd20.org.

Ihnen steht zudem das Recht zu, sich bei einer Aufsichtsbehörde zu beschweren. Zuständige Behörde ist:

8. Kinder und Minderjährige

Die Angebote richten sich nicht an Kinder unter 16 Jahren. Wir verarbeiten wissentlich keine Daten von Kindern ohne Einwilligung eines Elternteils oder Erziehungsberechtigten.

9. Keine automatisierte Entscheidungsfindung im Einzelfall

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. Die KI-Funktionen sind unterstützend und treffen keine verbindlichen Entscheidungen über Sie.

10. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Erklärung, wenn sich unsere Datenverarbeitung ändert. Es gilt die jeweils unter der entsprechenden URL veröffentlichte Fassung. Stand: siehe oben.

Introduction

Last updated: 8 June 2026

This policy applies both to the website sd20.org (section 2) and to the mobile sd20 App (section 3). The common sections 4–10 apply to both.

1. Controller

The controller for the processing of personal data is:

A data protection officer is not legally required and has not been appointed. For questions, please contact the address above.

2. Use of the sd20.org website

2.1 Server log files

When you access the website, the server automatically records technical access data: browser type and version, operating system, referrer website, sub-pages accessed, date and time of access, IP address, internet service provider, and similar data used for threat prevention in case of attacks.

Purpose: correct delivery of content, optimisation and security of the website. This data is stored separately from any other personal data and is deleted by the host (goneo) after 7 days as a rule.

Legal basis: legitimate interest (Art. 6(1)(f) GDPR).

2.2 Cookies

The website uses only technically necessary cookies (e.g. session cookies for core functionality). No tracking, advertising or analytics cookies and no third-party analytics/marketing services are used.

You can prevent cookies at any time via your browser settings or delete cookies already set; some website functions may then be unavailable.

Legal basis: storage of strictly necessary cookies under § 25(2) TDDDG; otherwise legitimate interest (Art. 6(1)(f) GDPR).

2.3 Contact (form/email)

If you contact us via a contact form or email, we process the data you provide (e.g. name, email address, your message) to handle your request. This data is not shared with third parties. It is deleted once no longer required and no retention obligations apply.

Legal basis: pre-contract/contract performance (Art. 6(1)(b) GDPR) or legitimate interest in responding (Art. 6(1)(f) GDPR).

3. Use of the sd20 App

The sd20 App supports education, self-observation, research and citizen science around sleep and dreams. It is not a medical device and is not intended for the diagnosis, therapy or monitoring of diseases.

Data minimisation by design: Most content data — in particular your sleep and dream diaries, questionnaires, measurement series and biosignals captured via Bluetooth — is stored exclusively locally on your device. At launch there is no central server for this content data. Transmission occurs only in the cases below.

3.1 Data processed locally on the device (not transmitted to us)

This data remains on the device unless you export it yourself. You can export and delete it at any time.

Legal basis: local processing within your sphere of control; where we process data, consent (Art. 6(1)(a), Art. 9(2)(a) GDPR) and contract performance (Art. 6(1)(b) GDPR).

3.2 User profile (server-side)

If you create a profile, the profile data you provide is stored on our servers (sd20.org, hosted by goneo) and synchronised with your device: display name/nickname, city, country, location coordinates, short bio, profile picture, push token and a user identifier.

Purpose: profile and community features (including showing meetups near you, see 3.3) and attributing content you create.

Legal basis: consent / contract performance (Art. 6(1)(a),(b) GDPR).

3.3 Location data

With your permission, the app determines your location (coordinates) and transmits it to our servers, where it is stored as part of your profile.

Purpose: showing and notifying you about events/meetups near you (community feature, typically within a ~10 km radius).

Legal basis: consent (Art. 6(1)(a) GDPR). Revocable at any time in your device settings.

3.4 Push notifications (Firebase Cloud Messaging)

For reminders/notifications the app uses Firebase Cloud Messaging (FCM) by Google Ireland Limited / Google LLC; a device-specific push token is transmitted to Google. No other Firebase services (Analytics/Crashlytics) are used.

Legal basis: consent (Art. 6(1)(a) GDPR); notifications must be explicitly allowed on Android/iOS. Recipients/third country: Google – see sections 4/5.

3.5 AI/LLM features ("Cook" assistant)

Three user-selectable modes:

Note: Do not enter sensitive health data into the AI if you wish to avoid transmission to external providers. In local mode no transmission occurs.

Legal basis: consent (Art. 6(1)(a); for health-related content Art. 9(2)(a) GDPR) via your active selection/use.

3.6 App permissions

Granted permissions can be revoked at any time in your device settings.

3.7 Account deletion

You can delete your account directly in the app (Profile → "Delete account"). This deletes your server-side profile (including location, profile picture, AI access) and the local data on the device. Alternatively, a message to info@sd20.org is sufficient.

4. Recipients and processors

Data is shared only to the extent necessary for the stated purposes:

Data processing agreements pursuant to Art. 28 GDPR are in place with these processors.

5. Transfers to third countries

Hosting (sd20.org, goneo) and the Institute API's AI processing (Azure, Germany West Central) take place in Germany — so no third-country transfer. Processing outside the EU/EEA (in particular the USA) may occur with Google (FCM) and — if you use your own API key — with the provider you select; safeguarded by appropriate guarantees under Art. 46 GDPR (in particular EU Standard Contractual Clauses) or the EU-US Data Privacy Framework. In local AI mode no transfer takes place.

6. Retention periods

7. Your rights

You have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and objection (Art. 21). You can withdraw consent at any time with effect for the future (Art. 7(3) GDPR). To exercise these rights, a message to info@sd20.org is sufficient.

You also have the right to lodge a complaint with a supervisory authority. The competent authority is:

8. Children and minors

The services are not directed at children under 16. We do not knowingly process children's data without the consent of a parent or guardian.

9. No automated decision-making in individual cases

There is no automated decision-making producing legal effects within the meaning of Art. 22 GDPR. The AI features are assistive and make no binding decisions about you.

10. Changes to this privacy policy

We update this policy when our data processing changes. The version published at the corresponding URL applies. Last updated: see above.