DATENSCHUTZERKLÄRUNG

DATENSCHUTZERKLÄRUNG FÜR EMORI

Stand: 1. September 2026

emori GmbH Philippsthaler Dorfstraße 60B 14558 Nuthetal Deutschland

E-Mail: datenschutz@emori.app Geschäftsführer: Sebastian Hartung, Ansgar Nanke

§ 1 GRUNDSÄTZE UND ÜBERBLICK

1.1 Einleitung

Die emori GmbH („emori”, „wir”, „uns”) nimmt den Schutz Ihrer personenbezogenen Daten sehr ernst. Diese Datenschutzerklärung informiert Sie darüber, wie wir Ihre Daten erheben, verarbeiten und nutzen, wenn Sie unsere Applikation emori („App”, „Dienst”) verwenden.

emori ist eine digitale Plattform zur Bewahrung von Familienerinnerungen durch Video-, Audio- und Bildaufnahmen. Aufgrund der besonderen Sensibilität dieser Daten – insbesondere biometrischer Daten wie Stimmen und Gesichter – haben wir höchste Sicherheits- und Datenschutzstandards implementiert.

Wir verarbeiten personenbezogene Daten für klar definierte Zwecke und auf der Grundlage der DSGVO und des BDSG. Dazu informieren wir Sie in präziser, verständlicher und leicht zugänglicher Form. Pflichtinhalte einer Datenschutzerklärung sind u. a. Angaben zum Verantwortlichen, zu Zwecken und Rechtsgrundlagen, Empfängern, Speicherdauer, Rechten, Drittlandübermittlungen sowie ggf. automatisierten Entscheidungen.

• Grundsätze: Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität/Vertraulichkeit; Rechenschaftspflicht des Verantwortlichen.

• Ausgewählte Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf von Einwilligungen) erläutern wir ab Abschnitt 3.

1.2 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

emori GmbH Philippsthaler Dorfstraße 60B 14558 Nuthetal Deutschland E-Mail: datenschutz@emori.app

1.3 Datenschutzbeauftragter

Unseren Datenschutzbeauftragten erreichen Sie unter:

heyData GmbH Schützenstraße 5 10117 Berlin

Web: www.heydata.eu E-Mail: datenschutz@heydata.eu

1.4 Ihre Rechte auf einen Blick

Sie haben folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO)

• Recht auf Berichtigung (Art. 16 DSGVO)

• Recht auf Löschung („Recht auf Vergessenwerden”, Art. 17 DSGVO)

• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

• Widerspruchsrecht (Art. 21 DSGVO)

• Widerrufsrecht bei Einwilligungen (Art. 7 Abs. 3 DSGVO)

• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

§ 2 DATENVERARBEITUNG BEI REGISTRIERUNG UND NUTZUNG

2.1 Registrierung und Account-Erstellung

Welche Daten werden erhoben?

• E-Mail-Adresse (Pflichtangabe)

• Passwort (verschlüsselt gespeichert)

• Name (optional, zur Personalisierung)

• Profilbild (optional)

• Geburtsdatum (Pflichtangabe bei der Registrierung; dient dem Schutz Minderjähriger und der Einordnung Ihrer Erinnerungen in die Lebensphasen — Einzelheiten und Rechtsgrundlage in § 9.2)

• IP-Adresse (automatisch bei Registrierung)

• Zeitstempel der Registrierung

• Geräteinformationen (Betriebssystem, Browser-Typ)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verarbeitung ist zur Erfüllung des Nutzungsvertrags erforderlich.

Speicherdauer: Die Daten werden gespeichert, solange Ihr Account besteht. Nach Löschung des Accounts werden die Daten innerhalb von 30 Tagen gelöscht oder anonymisiert, soweit dem keine gesetzlichen Aufbewahrungsfristen oder überwiegende berechtigte Interessen (insbesondere zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) entgegenstehen.

2.1.1 Anmeldung über Apple oder Google (Single Sign-On)

Sie können sich alternativ zur E-Mail-Anmeldung mit einem bestehenden Apple- oder Google-Konto anmelden. Voraussetzung ist, dass Sie bei dem jeweiligen Anbieter bereits registriert sind.

Wenn Sie ein solches Verfahren nutzen, erhalten wir vom Anbieter die Information, dass Sie dort eingeloggt sind, sowie – abhängig von Ihren Einstellungen beim Anbieter – Ihre E-Mail-Adresse und Ihren Namen. Der Anbieter erfährt umgekehrt, dass Sie das Verfahren in unserer App nutzen. Bei „Anmelden mit Apple” können Sie Ihre E-Mail-Adresse verbergen; wir erhalten dann eine von Apple erzeugte Weiterleitungsadresse.

Anbieter sind:

• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA (Datenschutzerklärung)

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Datenschutzerklärung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse daran, Ihnen eine einfache und sichere Anmeldemöglichkeit anzubieten; Ihre Interessen bleiben gewahrt, weil die Nutzung freiwillig ist und die Anmeldung per E-Mail gleichwertig zur Verfügung steht.

2.1.2 Herunterladen der App aus den App-Stores

Unsere App steht im App Store von Apple und im Play Store von Google zum Herunterladen bereit. Beim Herunterladen werden die dafür erforderlichen Informationen an den jeweiligen Store übertragen – insbesondere Nutzername, E-Mail-Adresse und Kundennummer des Store-Accounts, Zeitpunkt des Downloads, Zahlungsinformationen und die individuelle Gerätekennung.

Auf diese Erhebung haben wir keinen Einfluss und sind dafür nicht verantwortlich; sie erfolgt in eigener Verantwortung der Store-Betreiber. Wir verarbeiten diese Daten nur, soweit es für das Herunterladen der App auf Ihr Endgerät erforderlich ist.

2.2 Familien-Account und Familienmitglieder

Welche Daten werden erhoben?

• Familienname (optional)

• Liste der Familienmitglieder (Namen, E-Mail-Adressen)

• Rollen innerhalb der Familie (Administrator, Mitglied, Betrachter)

• Einladungslinks und deren Status

• Verwandtschaftsbeziehungen (optional, zur Visualisierung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verarbeitung ist zur Bereitstellung der Familien-Funktionalität erforderlich.

Besonderheit: Wenn Sie andere Personen zu Ihrer Familie einladen, verarbeiten wir deren E-Mail-Adressen zur Versendung der Einladung. Die eingeladene Person müssen der Verarbeitung ihrer weiteren Daten durch eine eigene Registrierung und Einwilligung zustimmen, bevor eine Datenverarbeitung durch uns stattfindet.

Speicherdauer: Solange der Familien-Account besteht. Bei Austritt eines Mitglieds werden dessen personenbezogenen Daten aus dem Familienkontext entfernt, aber die von diesem Mitglied erstellten Inhalte bleiben erhalten (siehe § 3).

2.3 Werbliche E-Mails (Willkommensrabatte und Produkt-Updates)

Worum es geht: Bei der Registrierung können Sie zusätzlich zur erforderlichen Zustimmung zu AGB und Datenschutzerklärung ein separates, freiwilliges Häkchen setzen: „Willkommensrabatte und Produkt-Updates von emori erhalten. Jederzeit widerrufbar.” Setzen Sie dieses Häkchen, senden wir Ihnen per E-Mail Informationen zu emori — insbesondere Rabatt- und Willkommensangebote sowie Hinweise auf neue Funktionen und Weiterentwicklungen der App. Es handelt sich um Werbung in eigener Sache; wir bewerben keine Produkte Dritter und geben Ihre E-Mail-Adresse nicht zu Werbezwecken an Dritte weiter.

Freiwilligkeit: Das Häkchen ist nicht vorausgewählt und keine Bedingung für die Registrierung oder die Nutzung von emori. Setzen Sie es nicht, entstehen Ihnen keinerlei Nachteile (Kopplungsverbot, Art. 7 Abs. 4 DSGVO).

Welche Daten werden verarbeitet?

• E-Mail-Adresse

• Vorname (zur persönlichen Anrede)

• Zeitpunkt, Herkunft (Registrierung oder Einstellungen) und Version des Einwilligungstextes

• Zeitpunkt eines etwaigen Widerrufs

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 7 Abs. 2 UWG. Die Dokumentation der Einwilligung selbst stützt sich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO (Nachweispflicht).

Versand: Der Versand erfolgt über die rapidmail GmbH, Freiburg, als Auftragsverarbeiter nach Art. 28 DSGVO (Serverstandort Deutschland, siehe § 4.2). An rapidmail werden ausschließlich Ihre E-Mail-Adresse, Ihr Vorname sowie der Zeitpunkt Ihrer Einwilligung übermittelt. Inhalte aus Ihren Familienerinnerungen — Videos, Audios, Bilder, Transkripte — werden zu Werbezwecken weder verarbeitet noch übermittelt und fließen nicht in die Auswahl der Ihnen zugesandten Informationen ein.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink am Ende jeder werblichen E-Mail, in der App unter „Profil → Meine Einwilligungen → Post von emori” oder formlos an datenschutz@emori.app. Der Widerruf ist so einfach wie die Erteilung und für Sie kostenfrei. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Speicherdauer: Ihre E-Mail-Adresse wird für werbliche Zwecke verarbeitet, bis Sie widerrufen oder Ihren Account löschen; anschließend wird sie beim Versanddienstleister gelöscht bzw. für den Fall einer erneuten Kontaktaufnahme gesperrt. Der Nachweis über Erteilung und Widerruf Ihrer Einwilligung (Zeitpunkt, Herkunft, Version und Wortlaut des Textes) wird in unserem Verarbeitungsprotokoll (§ 6.2) gespeichert und drei Jahre nach dem Ende des Kalenderjahres gelöscht, in dem der Widerruf erfolgt ist beziehungsweise die Einwilligung letztmals genutzt wurde. Diese Aufbewahrung dient ausschließlich dem Nachweis gegenüber Aufsichtsbehörden und Gerichten und entspricht der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB).

Keine automatisierte Entscheidungsfindung: Eine Profilbildung oder ein Scoring findet zu Werbezwecken nicht statt.

§ 3 VERARBEITUNG VON VIDEO-, AUDIO- UND BILDDATEN

WICHTIGER HINWEIS ZU BIOMETRISCHEN DATEN:

Video- und Audioaufnahmen, die Gesichter, Stimmen oder andere biometrische Merkmale enthalten, stellen besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO dar. Deren Verarbeitung unterliegt besonderen Anforderungen.

3.1 Aufnahme von Erinnerungen und Erlebnissen

Welche Daten werden erhoben?

• Videodateien

• Audiodateien

• Bilddateien

• Metadaten (Aufnahmedatum, -zeit, Geräteinformationen)

• Notizen und Beschreibungen zu den Aufnahmen

• Kategorie-Zuordnungen (z.B. „Kindheit”, „Beruf”, „Beziehungen”)

Rechtsgrundlage: Für die Verarbeitung Ihrer eigenen Nutzungs- und Profildaten (einschließlich der von Ihnen selbst erstellten Aufnahmen) stützen wir uns auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für die Verarbeitung biometrischer Daten (z.B. Gesichter, Stimmen) und sonstiger besonders sensibler Inhalte, die Sie von sich oder Dritten hochladen, ist zusätzlich eine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i.V.m. Art. 9 Abs. 2 lit. a DSGVO erforderlich. Wir bleiben auch in diesen Fällen Verantwortlicher im Sinne der DSGVO und stellen geeignete Einwilligungsmechanismen (z.B. Hinweise und In‑App-Einholung) bereit; Sie sind jedoch verpflichtet, nur solche Aufnahmen hochzuladen, für die alle betroffenen Personen wirksam eingewilligt haben.

• Sie dürfen nur Aufnahmen von Personen hochladen, die hierfür ihre ausdrückliche Einwilligung erteilt haben; dies gilt insbesondere für biometrische Daten (Gesicht, Stimme) und andere sensible Inhalte.

• Für Minderjährige unter 16 Jahren ist die Einwilligung der Erziehungsberechtigten erforderlich; ein Muster stellen wir auf Anfrage zur Verfügung (§ 9.4), bleiben jedoch auf Ihren Nachweis der Einwilligung angewiesen.

• Sie sind verpflichtet, diese Einwilligungen vor dem Upload einzuholen und auf Verlangen nachweisen zu können; wir behalten uns stichprobenartige Prüfungen sowie Sperrungen rechtswidriger Inhalte vor.

Speicherort: Alle Medien werden derzeit verschlüsselt auf Servern von StackIT in Deutschland gespeichert; es erfolgt grundsätzlich kein Transfer in Drittländer außerhalb der EU, es sei denn, dies ist in § 4 dieser Datenschutzerklärung ausdrücklich vorgesehen oder wird dort künftig transparent gemacht.

Speicherdauer: Die Daten werden gespeichert, solange Sie dies wünschen. Sie können jederzeit einzelne Aufnahmen oder Ihren gesamten Account herunterladen und löschen (siehe § 11).

3.2 KI-gestützte Verarbeitung (Transkription, Embeddings, Suche)

Besondere Kategorien personenbezogener Daten beim Erzählen: Wenn Sie beim Aufzeichnen von Familiengeschichten freiwillig besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO preisgeben – etwa Angaben zu Gesundheit, Religionszugehörigkeit, Herkunft oder Weltanschauung – und diese über unsere KI-Pipeline transkribiert und weiterverarbeitet werden, erfolgt dies ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Die Umwandlung von Sprache in Text findet dabei auf EU-Servern und ohne Speicherung der Rohdaten beim Anbieter statt (Zero Data Retention).

Welche Verarbeitungsvorgänge finden statt?

a) Transkription von Audio/Video:

• Ihre Audio- und Videodateien werden zur Umwandlung in Text (Transkripte) an unseren Auftragsverarbeiter OpenAI übermittelt; die Verarbeitung erfolgt auf Servern innerhalb der EU unter einer Zero-Data-Retention-Vereinbarung (eine self-hosted Transkription ist für die Zukunft geplant). Dies dient ausschließlich dazu, Ihre Inhalte durchsuchbar zu machen und die Gesprächsfunktion zu ermöglichen. Die Transkription erfolgt vollautomatisch, ohne Profilbildung und ohne menschliche Einsichtnahme in die Originaldateien.

b) Generierung von Embeddings:

• Aus den Transkripten werden numerische Vektoren (sogenannte Embeddings) erstellt, die inhaltliche Ähnlichkeiten zwischen Ihren Aufnahmen abbilden. Diese Embeddings werden nur intern verwendet, um innerhalb Ihres Familienaccounts eine intelligente Suche und thematische Zuordnung von Inhalten zu ermöglichen. Es werden keine zusätzlichen Personenprofile, keine externen Datenbanken und keine Auswertungen zu Werbe‑, Tracking‑ oder Scoringzwecken erstellt.

c) Gesprächsfunktion:

• Wenn Sie eine Frage stellen, werden ausschließlich die zu Ihrem Account gehörenden Transkripte mittels Vektorsuche nach passenden Inhalten durchsucht. Ein Sprachmodell analysiert Ihre Frage und schlägt die dazu passenden Video- oder Audiosegmente vor. Dabei werden keine Entscheidungen im Sinne eines Profilings nach Art. 22 DSGVO getroffen und es werden keine neuen Inhalte generiert oder KI-Avatare erstellt ; Sie sehen ausschließlich Ihre vorhandenen Originalaufnahmen, die lediglich gefiltert und sortiert werden.

Rechtsgrundlage: Die KI‑gestützte Verarbeitung Ihrer Audio‑, Video‑ und Textdaten (Transkription, Embeddings, LLM‑Abfragen) erfolgt auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO, soweit hierbei biometrische Daten (z.B. Stimme, Gesicht) oder andere besondere Kategorien personenbezogener Daten verarbeitet werden.

Datenschutzmaßnahmen:

• Zero Data Retention (ZDR): Bei der Nutzung der OpenAI‑APIs bestehen Zero‑Data‑Retention‑Vereinbarungen. Das bedeutet, dass OpenAI Ihre Daten nicht für eigene Zwecke (insbesondere nicht für Trainings‑ oder Analysezwecke) verwendet. Technisch bedingt können Protokolldaten für einen begrenzten Zeitraum vorgehalten werden (siehe „Speicherdauer“).

• Anonymisierung/Pseudonymisierung: Transkripte und KI‑Anfragen werden so gestaltet, dass keine unmittelbaren Identifikatoren außerhalb Ihres Familienkreises erforderlich sind. Wo möglich, verwenden wir Pseudonyme und minimieren die Daten auf das notwendige Maß.

• Verschlüsselung: Alle Übertragungen zwischen App, unseren Servern und den von uns genutzten KI‑Diensten erfolgen verschlüsselt (z.B. TLS 1.3). Ruhedaten werden nach dem Stand der Technik verschlüsselt gespeichert.

• EU‑Hosting: Die Verarbeitung für Transkription, Embeddings und LLM‑Abfragen erfolgt ausschließlich auf Servern innerhalb der EU. Es findet kein Transfer der Mediendaten in Drittländer außerhalb der EU/EWR statt.

Auftragsverarbeiter:

• OpenAI Ireland Ltd. (Transkription, Embeddings, LLM‑Abfragen im Rahmen der Gesprächsfunktion). Mit diesem Dienstleister besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

• StackIT GmbH (Speicherung von Medien, bspw. Videos und Bilder). Mit diesem Dienstleister besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Speicherdauer:

• Transkripte: solange die zugehörige Aufnahme in Ihrem Account vorhanden ist; nach Löschung der Aufnahme werden die Transkripte innerhalb von 7 Tagen gelöscht.

• Embeddings: solange die zugehörige Aufnahme in Ihrem Account vorhanden ist; nach Löschung der Aufnahme werden die Embeddings innerhalb von 7 Tagen gelöscht.

• Temporäre Verarbeitungsdaten bei OpenAI: technisch bedingte Protokoll‑ und Zwischendaten können bis zu 30 Tage gespeichert werden und werden anschließend automatisch gelöscht. Eine Nutzung dieser Daten für Trainingszwecke durch OpenAI erfolgt nicht.

§ 3.3 Automatisierte Inhaltsprüfung (Content Safety)

3.3.1 Zweck und Umfang

Zum Schutz unserer Nutzergemeinschaft und zur Erfüllung gesetzlicher

Pflichten (insbesondere nach NetzDG und DSA; zur Rechtsgrundlage siehe § 3.3.2) setzen wir ein KI‑gestütztes

System zur Erkennung potenziell rechtswidriger Inhalte ein. Die Prüfung erfolgt ausschließlich zu Sicherheits‑ und Compliance‑Zwecken und nicht zu Profiling‑, Werbe‑ oder sonstigen Marketingzwecken.

Welche Daten werden verarbeitet?

• Hochgeladene Mediendateien (Videos, Bilder, Audios), soweit dies für die Inhaltsprüfung erforderlich ist

• Daraus extrahierte visuelle und akustische Merkmale in dem für die Erkennung der unten genannten Inhaltstypen notwendigen Mindestumfang

• Hashwerte zur Erkennung bekannter illegaler Inhalte (z.B. PhotoDNA); es wird nur das hierfür erforderliche Minimum an Informationen verarbeitet.

Welche Inhalte werden geprüft?

• Darstellungen sexuellen Kindesmissbrauchs (CSAM)

• Gewaltverherrlichende Inhalte

• Terroristische Propaganda

• Pornografische Inhalte

• Weitere gemäß unseren AGB verbotene Inhalte

3.3.2 Rechtsgrundlage

• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Für die Erkennung und Meldung von Darstellungen sexuellen Kindesmissbrauchs (CSAM) gemäß § 184b StGB.

• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Für die Erkennung sonstiger rechtswidriger oder nach unseren Nutzungsbedingungen unzulässiger Inhalte (insbesondere schwere Gewalt, terroristische Propaganda, pornografische Inhalte, sonstige strafbare Inhalte) zum Schutz unserer Nutzer – insbesondere Minderjähriger –, zur Wahrung der Plattformintegrität, zur Vermeidung strafbarer Inhalte und zur Erfüllung regulatorischer Anforderungen (u.a. NetzDG, DSA). Die Verarbeitung erfolgt im Einklang mit den vernünftigen Erwartungen der Nutzer (Erwägungsgrund 47 DSGVO) und unterliegt einer dreistufigen Prüfung (berechtigtes Interesse – Erforderlichkeit – Interessenabwägung). Es wird nur der zur Erkennung der in § 3.3.1 genannten Inhaltstypen erforderliche Mindestumfang an Daten analysiert. Es erfolgt keine Profilbildung zu Marketing‑, Scoring‑ oder sonstigen kommerziellen Zwecken.

Interessenabwägung:

Unser berechtigtes Interesse an einer sicheren Plattform, an der Verhinderung gravierender Rechtsverletzungen (insbesondere im Zusammenhang mit Kindern, CSAM, schwerer Gewalt und terroristischer Propaganda) und am Schutz anderer Nutzer – insbesondere Minderjähriger – überwiegt das Interesse einzelner Nutzer an der ungeprüften Veröffentlichung von Inhalten. Nutzer müssen vernünftigerweise damit rechnen, dass Inhalte auf der Plattform in einem datensparsamen, eng zweckgebundenen Umfang automatisiert auf solche schweren Rechtsverstöße geprüft werden. Die Verarbeitung ist auf das für die Erkennung der in § 3.3.1 genannten Inhaltstypen erforderliche Minimum beschränkt und erfolgt ausschließlich zu Sicherheits‑ und Compliance‑Zwecken. Bei Inhalten, deren Rechtswidrigkeit nicht eindeutig feststeht, erfolgt stets eine manuelle Prüfung und gegebenenfalls eine Rückfrage an den Nutzer, bevor endgültige Maßnahmen ergriffen werden. Es werden keine Entscheidungen mit Rechtswirkung ausschließlich automatisiert getroffen; insbesondere führen automatisierte Treffer nicht unmittelbar zu einer endgültigen Löschung, sondern werden vor endgültigen Maßnahmen immer von einer zuständigen Person überprüft (siehe § 3.3.4).

3.3.3 Technische Umsetzung

Verarbeitungsort:

Die Inhaltsprüfung erfolgt ausschließlich auf unseren Servern in Deutschland (StackIT GmbH). Für die Prüfung werden nur Kopien bzw. technisch erforderliche Derivate Ihrer Mediendateien verarbeitet, die nach Abschluss der jeweiligen Prüfung wieder gelöscht werden. Die ursprünglichen Mediendateien verbleiben im regulären Speichersystem und werden für die Inhaltsprüfung nicht dauerhaft dupliziert.

Verwendete Technologien:

• Bildklassifikation mittels lokal gehosteter KI‑Modelle ausschließlich zur Erkennung der in § 3.3.1 genannten Inhaltstypen.

• Hash‑Abgleich mit Datenbanken bekannter illegaler Inhalte (z.B. CSAM‑Hashdatenbanken) ausschließlich zur Wiedererkennung solcher Inhalte.

• Textanalyse von Transkripten (nur bei aktivierter Transkription) ausschließlich zur Erkennung der in § 3.3.1 genannten Inhaltstypen. Es findet keine allgemeine Inhaltsanalyse zu Werbe‑, Tracking‑ oder Profilingzwecken statt; es werden keine zusätzlichen Nutzerprofile außerhalb des Sicherheits‑ und Compliance‑Kontextes erstellt.

Keine biometrische Identifikation:

Die Inhaltsprüfung dient ausschließlich der Erkennung von Inhaltstypen (z.B. Darstellungen nackter Minderjähriger) und nicht der Identifikation natürlicher Personen. Es findet keine Gesichtserkennung zur Personenidentifikation statt und es erfolgt kein Abgleich mit externen Datenbanken zur Identifikation einzelner Personen.

3.3.4 Automatisierte Entscheidungen (Art. 22 DSGVO)

Die Erstprüfung Ihrer Inhalte auf potenziell rechtswidrige Inhalte erfolgt automatisiert durch unser Content-Safety-System.

• Eine automatisierte Erkennung führt jedoch niemals unmittelbar und ausschließlich automatisiert zur endgültigen Löschung oder zu sonstigen Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung.

• Verdächtige Inhalte werden zunächst nur vorläufig blockiert oder markiert und sind in dieser Phase für andere Nutzer nicht sichtbar.

• Vor endgültigen Maßnahmen (z.B. dauerhafte Löschung, Sperrung des Accounts, Meldung an Behörden) erfolgt stets eine Prüfung und Entscheidung durch eine zuständige natürliche Person.

Ihr Recht auf menschliche Überprüfung:

Gemäß Art. 22 Abs. 3 DSGVO haben Sie das Recht, bei Entscheidungen, die auf einer automatisierten Erstprüfung beruhen und Sie erheblich betreffen können:

• Ihren Standpunkt darzulegen und Ihre Sicht der Dinge zu erläutern,

• die Entscheidung durch einen Menschen überprüfen zu lassen und

• die Entscheidung anzufechten.

Zur Ausübung Ihrer Rechte nach Art. 22 DSGVO können Sie uns jederzeit unter folgender Adresse kontaktieren: datenschutz@emori.app.

3.3.5 Speicherdauer

• Unauffällige Prüfergebnisse (keine Anhaltspunkte für einen Verstoß) werden nach Abschluss der jeweiligen Prüfung unverzüglich gelöscht; es erfolgt keine weitergehende Speicherung.

• Verdachtsfälle (bis zur Klärung) werden für maximal 30 Tage gespeichert, um die Sachlage zu prüfen, ggf. mit Ihnen zu kommunizieren und unsere Entscheidungen zu dokumentieren.

• Bestätigte Verstöße werden für bis zu 3 Jahre gespeichert, soweit dies zur Missbrauchsprävention, zur Durchsetzung unserer Nutzungsbedingungen, zur Abwehr oder Geltendmachung von Rechtsansprüchen sowie für Auskunfts- und Nachweispflichten gegenüber Behörden erforderlich ist.

• CSAM-Meldungen (Darstellungen sexuellen Kindesmissbrauchs) werden für bis zu 10 Jahre gespeichert, soweit dies zur Erfüllung gesetzlicher Aufbewahrungs-, Dokumentations- und Mitwirkungspflichten sowie zur Unterstützung von Strafverfolgungsbehörden erforderlich ist.

3.3.6 Empfänger

Die Ergebnisse der Inhaltsprüfung werden nur in dem gesetzlich vorgesehenen und erforderlichen Umfang weitergegeben an:

• • Zuständige Strafverfolgungsbehörden und Meldestellen (insbesondere bei CSAM an das BKA und/oder NCMEC), soweit hierzu eine gesetzliche Verpflichtung besteht oder ein entsprechender Anfangsverdacht vorliegt.
• • Behörden und Gerichte auf Grundlage einer richterlichen Anordnung oder sonstiger verbindlicher behördlicher Anordnungen.

Es erfolgt keine Weitergabe von Prüfergebnissen an Dritte zu Werbe-, Marketing- oder sonstigen kommerziellen Zwecken.

§ 4 EMPFÄNGER UND WEITERGABE VON DATEN

4.1 Weitergabe an Dritte und Auftragsverarbeiter

Wir geben Ihre personenbezogenen Daten nur in dem Umfang weiter, wie dies nach der DSGVO zulässig ist.

• Keine Weitergabe an Dritte: Wir verkaufen Ihre personenbezogenen Daten nicht und geben sie nicht zu Werbe- oder Marketingzwecken an Dritte weiter. Eine Weitergabe an eigenverantwortliche Dritte erfolgt nur, wenn Sie ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO), die Weitergabe zur Erfüllung des Vertrags mit Ihnen oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO), oder wir hierzu rechtlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO, z.B. gegenüber Behörden und Gerichten).

• Auftragsverarbeiter: Dienstleister, die in unserem Auftrag und nach unseren Weisungen personenbezogene Daten verarbeiten (Auftragsverarbeiter nach Art. 28 DSGVO), gelten datenschutzrechtlich nicht als „Dritte“ in diesem Sinne. Die von uns eingesetzten Auftragsverarbeiter, ihre Aufgaben, Serverstandorte und etwaige Drittlandübermittlungen sind in § 4.2 dieser Datenschutzerklärung im Einzelnen aufgeführt.

„Unsere Datenschutz-Garantie“

• Datenhosting in der EU/EWR: Ihre Medien- und Nutzungsdaten werden grundsätzlich ausschließlich auf Servern innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums gespeichert, insbesondere bei der StackIT GmbH in Deutschland.

• KI-Transkription in der EU: Die Transkription Ihrer Aufnahmen erfolgt über unseren nach Art. 28 DSGVO eingesetzten Auftragsverarbeiter OpenAI ausschließlich auf Servern innerhalb der EU unter einer Zero-Data-Retention-Konfiguration; OpenAI verarbeitet die übermittelten Daten nur nach unseren Weisungen und nicht für eigene Zwecke (insbesondere nicht zum Training von KI-Modellen). Für die Transkription wird die Audiospur an OpenAI übermittelt; es findet kein Transfer dieser Audiodaten in Drittländer außerhalb der EU/des EWR statt. Technisch bedingte Protokoll‑ und Zwischendaten können bei OpenAI für einen begrenzten Zeitraum von bis zu 30 Tagen gespeichert und anschließend automatisch gelöscht werden, ohne dass hierdurch ein Drittlandbezug oder eine Nutzung zu eigenen Zwecken entsteht.

• Zero-Data-Retention bei OpenAI: Bei Anfragen an die Gesprächsfunktion werden nur Textinhalte (z.B. Transkripte und Fragen) an OpenAI-Modelle gesendet. Aufgrund der mit OpenAI abgeschlossenen Zero‑Data‑Retention‑Vereinbarungen werden diese Inhalte nicht für das Training oder andere eigene Zwecke von OpenAI verwendet. Technisch bedingte Protokoll‑ und Zwischendaten können für einen begrenzten Zeitraum gespeichert und anschließend automatisch gelöscht werden (siehe § 3.2 „Speicherdauer“).

• Kein Drittland-Transfer von Mediendaten: Ihre Video‑, Audio‑ und Bilddateien („Familienerinnerungen“) werden derzeit ausschließlich im EU/EWR‑Raum gespeichert und verarbeitet und nicht in Drittländer außerhalb der EU/EWR übermittelt. Ausnahmen hiervon bestehen nur, soweit dies in dieser Datenschutzerklärung ausdrücklich genannt ist (z.B. Zahlungsdienstleister wie Stripe oder RevenueCat für Abrechnungszwecke); in diesen Fällen erfolgt die Übermittlung auf Grundlage geeigneter Garantien (insbesondere Standardvertragsklauseln gemäß Art. 46 DSGVO).

4.2 Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter ein. Mit allen genannten Dienstleistern bestehen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO. Serverstandorte und etwaige Drittlandübermittlungen sind nachfolgend angegeben; die jeweils aktuelle und gegebenenfalls erweiterte Liste der Auftragsverarbeiter kann jederzeit in der App sowie auf unserer Website eingesehen werden.

a) Supabase Inc. (Backend-Dienste)

• Leistung: Datenbank, Authentifizierung, Storage, Edge Functions

• Datenspeicherung: ausschließlich auf Servern in der Europäischen Union (Region Frankfurt am Main). Anbieter ist die Supabase Inc. mit Hauptsitz in den USA; dies wird der Vollständigkeit halber genannt. Etwaige Support- und Betriebszugriffe aus den USA sind durch Standardvertragsklauseln gemäß Art. 46 DSGVO abgesichert.

• Datenschutzerklärung: https://supabase.com/privacy

b) StackIT GmbH

• Leistung: Medienspeicherung

• Serverstandort: Deutschland (kein Drittlandtransfer)

• Datenschutzerklärung: https://stackit.de/datenschutz

c) OpenAI Ireland Ltd.

• Leistung: Transkription (Whisper), Embeddings, LLM-Abfragen (GPT-4o-mini)

• Serverstandort: EU (Verarbeitung auf EU-Servern, kein Transfer in die USA)

• Datenschutzerklärung: https://openai.com/privacy

d) RevenueCat Inc. (optional, bei In-App-Käufen)

• Leistung: Verwaltung von Abonnements

• Serverstandort: USA (Datenübermittlung auf Grundlage von Standardvertragsklauseln gemäß Art. 46 DSGVO)

• Datenschutzerklärung: https://www.revenuecat.com/privacy

e) Stripe Inc. / Stripe Payments Europe Ltd. (optional, bei Web-Zahlungen)

• Leistung: Zahlungsabwicklung

• Serverstandort: EU/USA (angemessenes Datenschutzniveau durch Standardvertragsklauseln gemäß Art. 46 DSGVO)

• Datenschutzerklärung: https://stripe.com/privacy

f) Resend, Inc. (Versand transaktionaler E-Mails)

• Leistung: Versand von Familieneinladungen sowie Service- und Anmelde-E-Mails

• Verarbeitung: in den USA. Übermittelt werden die Empfängeradresse und der Inhalt der jeweiligen Nachricht; Inhalte Ihrer Erinnerungen werden nicht übermittelt. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 DSGVO.

• Datenschutzerklärung: Privacy Policy · Resend

g) Google Ireland Limited (Push-Nachrichten über Firebase Cloud Messaging)

• Leistung: Zustellung von Push-Nachrichten an Ihr Endgerät

• Verarbeitung: Vertragspartner ist die Google Ireland Limited. Übermittelt werden die Gerätekennung (Push-Token) und der Inhalt der Benachrichtigung; eine Verarbeitung durch die US-Muttergesellschaft ist dabei nicht ausgeschlossen. Übermittlungen in die USA erfolgen auf Grundlage von Standardvertragsklauseln gemäß Art. 46 DSGVO.

• Datenschutzerklärung: Privacy Policy – Privacy & Terms – Google

h) Functional Software, Inc. dba Sentry (Fehler- und Stabilitätsanalyse)

• Leistung: Erfassung technischer Fehlerberichte zur Stabilität der App

• Datenspeicherung: ausschließlich in der Europäischen Union (Sentry EU-Region, Rechenzentrum in Deutschland). Anbieter ist die Functional Software, Inc. mit Hauptsitz in den USA; dies wird der Vollständigkeit halber genannt. Etwaige Support- und Betriebszugriffe aus den USA sind durch Standardvertragsklauseln gemäß Art. 46 DSGVO abgesichert.

• Datenschutzerklärung: Privacy Policy 3.3.2 (October 29, 2025) | Sentry

i) IONOS

• E-Mail und Software Deployment

• Serverstandort: Deutschland

• Datenschutzerklärung: https://www.ionos.de/hilfe/datenschutz/

j) rapidmail GmbH (nur bei erteilter Werbe-Einwilligung)

• Leistung: Versand werblicher E-Mails (siehe § 2.3); übermittelt werden ausschließlich E-Mail-Adresse, Vorname und Einwilligungs-Zeitpunkt

• Serverstandort: Deutschland (kein Drittlandtransfer)

• Datenschutzerklärung: https://www.rapidmail.de/datenschutz

k) PostHog Inc. (Produktanalyse)

• Leistung: Reichweiten- und Nutzungsanalyse ohne Gerätespeicher (siehe § 5.3)

• Serverstandort: EU (Rechenzentrum Frankfurt am Main). Etwaige Support- und Betriebszugriffe aus den USA sind durch Standardvertragsklauseln gemäß Art. 46 DSGVO sowie die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework abgesichert.

• Datenschutzerklärung: https://posthog.com/privacy

4.3 Verarbeitungsorte und Drittlandübermittlung

Grundsatz: Ihre Familienerinnerungen — Video-, Audio- und Bilddateien sowie die daraus erstellten Transkripte und Embeddings — werden ausschließlich auf Servern innerhalb der EU verarbeitet und gespeichert. Sie werden nicht in Drittländer übermittelt.

Anbieter mit Sitz in den USA und Datenspeicherung in der EU: Mehrere der in § 4.2 genannten Auftragsverarbeiter haben ihren Hauptsitz in den USA, speichern die Daten jedoch in der Europäischen Union. Das betrifft Supabase (Frankfurt am Main), Sentry (EU-Region, Deutschland) und PostHog (Frankfurt am Main). Ein Zugriff aus den USA beschränkt sich auf Support- und Betriebsfälle und ist durch Standardvertragsklauseln gemäß Art. 46 DSGVO abgesichert; bei PostHog zusätzlich durch die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework.

Tatsächliche Übermittlungen in die USA erfolgen bei:

• Resend (Versand transaktionaler E-Mails): Empfängeradresse und Nachrichteninhalt

• Stripe (Zahlungsabwicklung Web): Zahlungs- und Abrechnungsdaten

• RevenueCat (Verwaltung der Abonnements auf Mobilgeräten): pseudonyme App-Nutzerkennung und Abonnement-Ereignisse

• Google (Push-Nachrichten): Push-Token und Inhalt der Benachrichtigung

Diese Übermittlungen erfolgen auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO sowie ergänzender technischer und organisatorischer Maßnahmen. Ein Restrisiko im Zusammenhang mit dem niedrigeren Datenschutzniveau in den USA lässt sich dabei nicht vollständig ausschließen.

OpenAI: Die Verarbeitung erfolgt über die OpenAI Ireland Ltd. ausschließlich auf Servern innerhalb der EU; eine Übermittlung der verarbeiteten Inhalte in die USA findet nicht statt.

§ 4.4 Unser Datenschutz-Versprechen

Wir wissen, dass Ihre Familienerinnerungen das Wertvollste sind. Deshalb garantieren wir:

1. Speicherung in Deutschland: Derzeit werden alle Video-, Audio- und Bilddateien („Familienerinnerungen“) grundsätzlich ausschließlich auf Servern der StackIT GmbH in Deutschland gespeichert; dies umfasst auch Sicherungskopien (Backups) und technisch notwendige Spiegelungen, die ebenfalls im Gebiet der Bundesrepublik Deutschland bzw. innerhalb der EU/EWR vorgehalten werden. Für diese Mediendaten findet derzeit keine Übermittlung in Drittländer außerhalb der EU/EWR statt; gesetzliche Aufbewahrungspflichten sowie die in § 4.3 dieser Datenschutzerklärung beschriebenen Ausnahmen bleiben hiervon unberührt.

2. KI-Transkription in der EU: Die Transkription Ihrer Aufnahmen (Whisper) erfolgt derzeit über unseren nach Art. 28 DSGVO eingesetzten Auftragsverarbeiter OpenAI Ireland Ltd. auf Servern innerhalb der EU unter einer Zero-Data-Retention-Konfiguration und EU-Datenresidenz; für die Transkription wird ausschließlich die Audiospur Ihrer Aufnahmen an OpenAI (Server in der EU) übermittelt. Es findet grundsätzlich keine Übermittlung dieser Audiodaten in Drittländer außerhalb der EU/des EWR statt; technisch bedingte Protokoll- und Zwischendaten können bei OpenAI für einen begrenzten Zeitraum von bis zu 30 Tagen vorgehalten und anschließend automatisch gelöscht werden, ohne dass hierdurch ein Drittlandtransfer oder eine Nutzung zu eigenen Zwecken (insbesondere nicht zum Training von KI-Modellen) erfolgt.

3. Keine Trainingsdaten: Mit OpenAI bestehen derzeit eine Zero-Data-Retention-Konfiguration und EU-Datenresidenz; die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO, in dem die Nutzung der übermittelten Daten zu eigenen Zwecken von OpenAI – insbesondere zu Trainings-, Analyse- oder Marketingzwecken – vertraglich und technisch ausgeschlossen ist. Das bedeutet: Für die Gesprächsfunktion werden nur Textinhalte (z.B. Transkripte und Ihre Fragen) an OpenAI-Modelle übermittelt, diese Inhalte werden nicht für das Training von KI-Modellen oder andere eigene Zwecke von OpenAI verwendet und technisch bedingte Protokolldaten werden nur vorübergehend gespeichert (siehe § 3.2 und § 4.2); etwaige künftige Änderungen der Policies oder Verarbeitungsmodalitäten von OpenAI werden nach Maßgabe von § 13 dieser Datenschutzerklärung transparent kommuniziert.

4. Ihre Inhalte bleiben in Europa: Ihre Video-, Audio- und Bilddateien („Familienerinnerungen“) als Mediendaten werden derzeit ausschließlich im EU/EWR-Raum, insbesondere auf Servern der StackIT GmbH in Deutschland, gespeichert und verarbeitet und nicht in Drittländer außerhalb der EU/EWR übermittelt. Die Dienste mit US-Bezug verarbeiten keine Inhalte Ihrer Erinnerungen, sondern Zahlungs- und Abrechnungsdaten (Stripe, RevenueCat), Empfängeradresse und Inhalt versendeter E-Mails (Resend) sowie Push-Token und Benachrichtigungsinhalt (Google); diese Übermittlungen erfolgen – wie in § 4.3 dieser Datenschutzerklärung beschrieben – auf Grundlage von Standardvertragsklauseln gemäß Art. 46 DSGVO und ergänzenden technischen und organisatorischen Schutzmaßnahmen, wobei ein Restrisiko im Zusammenhang mit dem niedrigeren Datenschutzniveau in den USA nicht vollständig ausgeschlossen werden kann.

§ 5 COOKIES UND TRACKING-TECHNOLOGIEN

5.1 Verwendung von Cookies

Unsere App und Website verwenden Cookies und ähnliche Technologien. Ein Cookie ist eine kleine Textdatei, die auf Ihrem Gerät gespeichert und bei späteren Zugriffen wieder ausgelesen werden kann.

Wir unterscheiden folgende Kategorien:

a) Technisch notwendige Cookies (ohne Einwilligung)

• Session-ID, Authentifizierungs-Token, Spracheinstellungen. Diese Cookies sind für den Betrieb unserer App und Website sowie für die Bereitstellung der von Ihnen ausdrücklich gewünschten Funktionen unbedingt erforderlich (z.B. Login, sichere Nutzung, Spracheinstellung). Ohne sie kann der Dienst nicht bereitgestellt werden.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren und funktionsfähigen Bereitstellung unserer Dienste); hinsichtlich der Endgerätezugriffe gelten die Ausnahmen für unbedingt erforderliche Cookies nach § 25 Abs. 2 TTDSG.

b) Funktionale Cookies (mit Einwilligung)

• Benutzereinstellungen (Theme, Layout), zuletzt besuchte Bereiche. Diese Cookies verbessern die Nutzung und Personalisierung der App/Website, sind aber für die Grundfunktionen nicht zwingend erforderlich. Sie werden erst gesetzt, wenn Sie im Consent-Management (Cookie-Einstellungen in der App bzw. auf der Website) eingewilligt haben.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung; Einwilligung in den Endgerätezugriff nach § 25 Abs. 1 TTDSG).

c) Analytische Zugriffe auf Ihr Endgerät

• Für die Produktanalyse setzen wir weder Cookies noch vergleichbare Speicherzugriffe auf Ihrem Endgerät ein. Unser Analysewerkzeug ist so konfiguriert, dass es nichts auf Ihrem Gerät ablegt und nichts von dort ausliest; § 25 Abs. 1 TTDSG ist damit nicht einschlägig. Einzelheiten und Ihr Widerspruchsrecht finden Sie in § 5.3.

• Sollten wir künftig Analyse-Cookies einsetzen, werden diese erst gesetzt, nachdem Sie im Consent-Management ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TTDSG).

5.2 Cookie-Verwaltung

Sie können Cookies jederzeit über die Einstellungen Ihres Browsers oder Endgeräts verwalten und löschen. Bitte beachten Sie, dass unsere App ohne technisch notwendige Cookies nicht oder nur eingeschränkt funktioniert.

Widerruf Ihrer Einwilligung: In unseren App- und Website-Einstellungen („Datenschutz & Cookies“) können Sie jederzeit Ihre Auswahl ändern, einzelne Kategorien aktivieren/deaktivieren und erteilte Einwilligungen mit Wirkung für die Zukunft widerrufen. Nicht notwendige Cookies werden nur gesetzt, wenn Sie zuvor aktiv eingewilligt haben; ein Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

5.3 Produktanalyse (PostHog)

Um zu verstehen, welche Funktionen unserer App genutzt werden und an welchen Stellen Nutzerinnen und Nutzer nicht weiterkommen, setzen wir PostHog ein. Anbieter ist die PostHog Inc.; die Daten werden in einem Rechenzentrum in Frankfurt am Main verarbeitet.

Ohne Zugriff auf Ihr Endgerät: Wir betreiben PostHog bewusst so, dass keinerlei Daten auf Ihrem Endgerät gespeichert oder von dort ausgelesen werden – keine Cookies, keine vergleichbaren Kennungen. Die Zuordnung einzelner Ereignisse zu einer Sitzung besteht nur für die Dauer der laufenden Nutzung und ausschließlich im Arbeitsspeicher. Auf unserer Website im ausgeloggten Zustand arbeiten wir lediglich mit einem serverseitig gebildeten, täglich wechselnden Hashwert.

Welche Daten verarbeitet werden: Nutzungsdaten (z.B. aufgerufene Bereiche der App, ausgelöste Aktionen, Zeitpunkte) und Meta-/Kommunikationsdaten (z.B. Gerätetyp, Betriebssystem, ungefähre Region). Sind Sie angemeldet, ordnen wir die Ereignisse Ihrer Nutzerkennung zu, damit zusammenhängende Abläufe auswertbar sind.

Was wir ausdrücklich nicht tun: keine Weitergabe der Daten an Dritte, kein Profiling zu Werbezwecken, kein seitenübergreifendes Tracking, keine Nutzung Ihrer Daten zum Trainieren von KI-Modellen. Es werden keine Zahlungsdaten an PostHog übermittelt. Die Aufzeichnung von Bildschirminhalten (Session Recording) ist abgeschaltet. Inhalte Ihrer Erinnerungen – Titel, Beschreibungen, Transkripte, Namen – werden nicht erfasst; die automatische Erfassung ist technisch auf Bedienelemente wie Schaltflächen und Verweise beschränkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, unsere App auf Grundlage tatsächlicher Nutzung zu verbessern und Stellen zu erkennen, an denen sie nicht verständlich ist. Weil kein Zugriff auf Ihr Endgerät stattfindet, ist hierfür keine Einwilligung erforderlich.

Ihr Widerspruchsrecht (Art. 21 DSGVO): Sie können der Produktanalyse jederzeit und ohne Angabe von Gründen widersprechen – in der App unter „Profil → Meine Einwilligungen → emori besser machen”. Nach Ihrem Widerspruch werden für Sie keine weiteren Analyse-Ereignisse mehr erhoben. Der Widerspruch wirkt für die Zukunft und hat keine Auswirkungen auf die Nutzbarkeit der App.

Speicherdauer: 365 Tage ab Erhebung des jeweiligen Ereignisses.

§ 6 PROTOKOLLIERUNG UND SICHERHEIT

6.1 Server-Log-Dateien

Bei jedem Zugriff auf unsere Dienste werden zur Sicherstellung eines stabilen und sicheren Betriebs automatisch folgende Daten protokolliert:

• IP-Adresse (in gekürzter Form; vollständige IP-Adressen werden nur kurzfristig verarbeitet und nach spätestens 7 Tagen anonymisiert)

• Datum und Uhrzeit der Anfrage

• Zugriffsstatus/HTTP-Statuscode

• Übertragene Datenmenge

• Referrer-URL

• User-Agent (Browser, Betriebssystem)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gewährleistung von IT-Sicherheit, Missbrauchserkennung und Fehlerdiagnose; die Verarbeitung beschränkt sich auf das hierfür erforderliche Minimum und entspricht den vernünftigen Erwartungen der Nutzer).

Speicherdauer: 30 Tage, danach automatische Löschung; diese Frist ist erforderlich, um Sicherheitsvorfälle nachverfolgen, Störungen analysieren und die Stabilität unserer Systeme sicherstellen zu können.

6.2 Audit-Logs (Verarbeitungsprotokoll)

Zur Erfüllung von Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und zur Nachvollziehbarkeit sicherheitsrelevanter Vorgänge protokollieren wir insbesondere:

• Zugriffe auf personenbezogene Daten

• Änderungen an Daten

• Löschungen

• Administrationshandlungen

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und Art. 32 DSGVO (Sicherheit der Verarbeitung).

Speicherdauer: 3 Jahre, danach automatische Löschung; diese Dauer ist erforderlich, um unsere Rechenschaftspflichten zu erfüllen, sicherheitsrelevante Vorgänge nachvollziehen und etwaige Rechtsansprüche prüfen, geltend machen oder abwehren zu können.

6.3 Sicherheitsmaßnahmen

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen:

Technische Maßnahmen:

• Verschlüsselung bei Übertragung: TLS 1.3

• Verschlüsselung ruhender Daten: AES-256

• Row Level Security (RLS): Datenbankzugriff nur auf eigene Familiendaten

• Sichere Authentifizierung: Passwort-Hashing mit bcrypt

• Zwei-Faktor-Authentifizierung: in Vorbereitung; sie wird nach ihrer Bereitstellung optional in den Einstellungen aktivierbar sein (siehe AGB § 2.2.2)

• Regelmäßige Backups: verschlüsselt und geografisch getrennt

• Firewall- und DDoS-Schutz

Organisatorische Maßnahmen:

• Zugriffskontrolle (Berechtigungskonzept)

• Datenschutz-Folgenabschätzung (DSFA)

• Regelmäßige Sicherheits-Audits

• Mitarbeiterschulungen

• Incident-Response-Plan

§ 7 IHRE RECHTE ALS BETROFFENE PERSON

Sie haben gemäß DSGVO folgende Rechte gegenüber uns bezüglich Ihrer personenbezogenen Daten:

7.1 Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, von uns eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, haben Sie das Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

• Welche personenbezogenen Daten wir über Sie verarbeiten (z.B. Stammdaten, Nutzungsdaten, Kommunikationsdaten)

• Zu welchen Zwecken die Verarbeitung erfolgt

• Welche Kategorien von Daten betroffen sind

• An welche Empfänger oder Kategorien von Empfängern die Daten weitergegeben wurden oder werden

• Wie lange die Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer

• Woher die Daten stammen (falls nicht von Ihnen selbst erhoben)

• Ob eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO stattfindet und – sofern dies der Fall ist – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung

• Sie haben außerdem das Recht, eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten (Art. 15 Abs. 3 DSGVO). Die Auskunft wird in der Regel elektronisch bereitgestellt, sofern Sie nichts anderes wünschen.

• So üben Sie Ihr Auskunftsrecht aus: Per E-Mail an: datenschutz@emori.app

• In der App: Profil → „Deine Daten” → „Meine Daten herunterladen”

• Per Post an unsere Geschäftsadresse

Bearbeitungszeit: Wir beantworten Ihr Auskunftsersuchen unverzüglich, spätestens innerhalb eines Monats nach Eingang Ihrer Anfrage. In begründeten Fällen kann diese Frist um zwei weitere Monate verlängert werden; in diesem Fall informieren wir Sie innerhalb eines Monats nach Eingang der Anfrage über die Gründe für die Verzögerung.

Identitätsprüfung: Zum Schutz Ihrer Daten können wir Sie bitten, Ihre Identität nachzuweisen (z.B. durch Abgleich mit Ihren Account-Daten oder Kopie eines Ausweisdokuments), um sicherzustellen, dass keine unbefugte Person Auskunft über Ihre Daten erhält.

7.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, die unverzügliche Berichtigung unrichtiger personenbezogener Daten, die Sie betreffen, zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung haben Sie außerdem das Recht, die Vervollständigung unvollständiger personenbezogener Daten – auch mittels einer ergänzenden Erklärung – zu verlangen.

So üben Sie Ihr Berichtigungsrecht aus:

• In der App: Profil — Name, Geburtsdatum, Wohnort und Profilbild lassen sich dort unmittelbar ändern

• Per E-Mail an: datenschutz@emori.app

Umsetzung: Wir nehmen die erforderliche Berichtigung bzw. Vervollständigung unverzüglich vor und informieren Sie über die erfolgte Anpassung der Daten.

7.3 Recht auf Löschung („Recht auf Vergessenwerden”, Art. 17 DSGVO)

Sie haben nach Art. 17 DSGVO das Recht, von uns die Löschung Ihrer personenbezogenen Daten zu verlangen. Dies ist insbesondere dann der Fall, wenn einer der folgenden Gründe vorliegt:

• • die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind,

• • Sie eine von Ihnen erteilte Einwilligung widerrufen und es für die weitere Verarbeitung keine andere Rechtsgrundlage gibt,

• • Sie gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung einlegen und keine vorrangigen berechtigten Gründe für die Verarbeitung bestehen oder Sie der Verarbeitung zu Zwecken der Direktwerbung widersprechen,

• • Ihre personenbezogenen Daten unrechtmäßig verarbeitet wurden oder

• • die Löschung zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich ist, dem wir unterliegen.

Ausnahmen vom Löschungsrecht: Ein Anspruch auf Löschung besteht nicht, soweit die Verarbeitung im Einzelfall weiterhin erforderlich ist, insbesondere weil:

• • gesetzliche Aufbewahrungspflichten bestehen (z.B. handels- oder steuerrechtliche Aufbewahrungsfristen von regelmäßig bis zu 10 Jahren),

• • die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist oder

• • die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der wir unterliegen, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (Art. 17 Abs. 3 DSGVO).

So üben Sie Ihr Löschungsrecht aus:

• In der App: Profil → „Konto löschen”

• Per E-Mail an: datenschutz@emori.app

Besonderheit bei Familienaccounts: Wenn Sie Mitglied eines Familienaccounts sind, gelten folgende Besonderheiten:

• Ihre persönlichen Daten (z.B. E-Mail-Adresse, Profilinformationen) werden bei Ausübung des Löschungsrechts gelöscht.

• Von Ihnen erstellte Inhalte (Erinnerungen, Erlebnisse) können im Familienaccount verbleiben, wenn und soweit andere Familienmitglieder hieran eigene Nutzungs- oder Erinnerungsinteressen bzw. Rechte haben und unsere berechtigten Interessen sowie die berechtigten Interessen dieser Familienmitglieder (Art. 6 Abs. 1 lit. f DSGVO) an der weiteren Speicherung im Familienkontext überwiegen.

• Sie können vor der Löschung Ihres Accounts entscheiden, ob Ihre Beiträge im Familienaccount anonymisiert (d.h. ohne Zuordnung zu Ihrer Person) oder vollständig entfernt werden sollen; wir setzen Ihre Wahl im Rahmen der gesetzlichen Vorgaben und technischen Möglichkeiten um.

Umsetzungsfrist: Die Löschung erfolgt in der Regel innerhalb von 30 Tagen. Diese Regelfrist ist erforderlich, um die Löschung technisch umzusetzen, Nachsichtungen und Sicherheitsprüfungen vorzunehmen sowie die Daten in Sicherungskopien (Backups) gemäß den vorgesehenen Überschreibungszyklen zu entfernen. Nach Abschluss der Löschung erhalten Sie eine Bestätigung per E-Mail.

7.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben nach Art. 18 DSGVO das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, wenn einer der folgenden Gründe vorliegt:

• • Sie bestreiten die Richtigkeit der personenbezogenen Daten, und zwar für die Dauer, die es uns ermöglicht, die Richtigkeit der Daten zu überprüfen,

• • die Verarbeitung ist unrechtmäßig und Sie lehnen die Löschung der personenbezogenen Daten ab und verlangen stattdessen die Einschränkung der Nutzung der personenbezogenen Daten,

• • wir die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigen, Sie diese jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen, oder

• • Sie Widerspruch gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO eingelegt haben, solange noch nicht feststeht, ob unsere berechtigten Gründe gegenüber Ihren Gründen überwiegen.

Bedeutung der Einschränkung: Während der Einschränkung markieren wir die betreffenden personenbezogenen Daten und verarbeiten sie – abgesehen von der Speicherung – nur (i) mit Ihrer Einwilligung, (ii) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, (iii) zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder (iv) aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats (Art. 18 Abs. 2 DSGVO). Bitte beachten Sie, dass der Service der emori Applikation bei aktivierter Einschränkung je nach Umfang der betroffenen Daten nur eingeschränkt oder gar nicht zur Verfügung stehen kann; Ihr Recht auf Einschränkung bleibt hiervon unberührt.

So üben Sie dieses Recht aus: Sie können die Einschränkung der Verarbeitung jederzeit beantragen, indem Sie uns kontaktieren: Per E-Mail an: datenschutz@emori.app oder über die in dieser Datenschutzerklärung genannten Kontaktwege. Bitte geben Sie den betroffenen Datenbereich und den einschlägigen Grund (siehe oben) an.

7.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben nach Art. 20 DSGVO das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO) oder eines Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO) und mithilfe automatisierter Verfahren verarbeiten, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie haben außerdem das Recht, diese Daten einem anderen Verantwortlichen übermitteln zu lassen, soweit dies technisch machbar ist.

Umfang:

• • Alle von Ihnen bereitgestellten Stammdaten und Profildaten (z.B. Name, E-Mail-Adresse, Einstellungen),

• • alle von Ihnen hochgeladenen oder erstellten Inhalte (Erinnerungen, Erlebnisse, Medien), soweit sie Ihnen als betroffener Person zugeordnet sind, sowie

• • zugehörige Metadaten und Transkripte, die im Rahmen der Nutzung des Dienstes entstanden sind und unter die Voraussetzungen des Art. 20 DSGVO fallen.

Formate:

• • JSON (strukturierte Daten: Profil, Familienstruktur, Metadaten, Transkripte und Zeitstempel)

• • Original-Mediendateien (Videos, Audios, Bilder); alle Bestandteile werden in einer ZIP-Datei zusammengefasst bereitgestellt

• • Die Transkripte sind in den JSON-Daten enthalten; ein gesondertes CSV wird nicht erzeugt

So üben Sie dieses Recht aus:

• • In der App: Profil → „Deine Daten” → „Meine Daten herunterladen”

• • Per E-Mail an: datenschutz@emori.app

Bearbeitungszeit: Wir stellen den Export in der Regel innerhalb von 7 Tagen nach Eingang Ihres Antrags bereit. Sie erhalten einen Download-Link oder – soweit von Ihnen gewünscht und technisch möglich – erfolgt eine direkte Übermittlung an einen anderen Verantwortlichen. Die Übertragbarkeit zu einem anderen Anbieter setzt voraus, dass dieser geeignete Schnittstellen oder Importmöglichkeiten bereitstellt; dies ist derzeit häufig nicht der Fall, da emori eine eigene Datenstruktur verwendet.

7.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, wenn die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder lit. f DSGVO erfolgt.

Bei berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO): Legen Sie Widerspruch gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung ein, verarbeiten wir Ihre personenbezogenen Daten für diese Zwecke nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Direktwerbung: Soweit wir Ihre Daten für Zwecke der Direktwerbung oder eines damit verbundenen Profilings verwenden, haben Sie das Recht, dieser Verarbeitung jederzeit ohne Angabe von Gründen zu widersprechen. In diesem Fall verarbeiten wir Ihre personenbezogenen Daten nicht mehr zu Zwecken der Direktwerbung; eine Interessenabwägung findet hierbei nicht statt.

So üben Sie Ihr Widerspruchsrecht aus: Per E-Mail an: datenschutz@emori.app . Bitte geben Sie – soweit Ihr Widerspruch nicht die Direktwerbung betrifft – kurz an, gegen welche Verarbeitung und aus welchen Gründen (Ihre besondere Situation) Sie Widerspruch einlegen.

7.7 Widerrufsrecht bei Einwilligungen (Art. 7 Abs. 3 DSGVO)

Wenn die Verarbeitung auf Ihrer Einwilligung beruht, haben Sie das Recht, diese Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Der Widerruf ist formfrei und ohne Angabe von Gründen möglich. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

So widerrufen Sie Ihre Einwilligung:

• In der App: Profil → „Meine Einwilligungen”

• Per E-Mail an: datenschutz@emori.app

Folgen des Widerrufs:

• Einwilligung zur Registrierung: Ihr Account wird gelöscht; damit einhergehend werden Ihre Profildaten und zugehörigen personenbezogenen Nutzungsdaten nach Maßgabe dieser Datenschutzerklärung gelöscht bzw. gesperrt, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden berechtigten Interessen entgegenstehen.

• Einwilligung zu Aufnahmen: Die von dem Widerruf erfassten Aufnahmen (z.B. bestimmte Video-, Audio- oder Bilddateien) werden gelöscht; dies umfasst auch die zugehörigen Metadaten, soweit diese nicht aus rechtlichen oder technischen Gründen noch für einen begrenzten Zeitraum vorgehalten werden müssen (vgl. die Regelungen zur Löschung in § 11 dieser Datenschutzerklärung).

• Einwilligung zur KI-Verarbeitung: Die auf Grundlage Ihrer Einwilligung erstellten Transkripte und Embeddings werden gelöscht, und die KI-gestützte Gesprächsfunktion steht für die betroffenen Aufnahmen nicht mehr zur Verfügung; Ihre Originalaufnahmen bleiben hiervon unberührt, sofern Sie nicht zusätzlich deren Löschung verlangen.

• Einwilligung zu Familienmitgliedern: Ihre Einwilligung zur Aufnahme in einen Familienaccount wird widerrufen; Sie werden aus dem betreffenden Familienaccount entfernt. Ihre personenbezogenen Daten im Familienkontext werden entsprechend den Regelungen dieser Datenschutzerklärung gelöscht oder anonymisiert, soweit nicht überwiegende berechtigte Interessen anderer Familienmitglieder oder gesetzliche Pflichten einer vollständigen Löschung entgegenstehen.

Detaillierte Widerrufsbelehrung: Siehe separates Dokument „Widerrufsbelehrung”

7.8 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe jederzeit bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten durch uns gegen die DSGVO verstößt.

Zuständige Aufsichtsbehörde (am Sitz unseres Unternehmens):

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg Stahnsdorfer Damm 77 14532 Kleinmachnow Deutschland Telefon: +49 33203 356-0 E-Mail: Poststelle@LDA.Brandenburg.de Website: https://www.lda.brandenburg.de

Weitere Beschwerdestellen: Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden; dieses Recht besteht in allen Mitgliedstaaten der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EWR).

§ 8 BESONDERE RECHTE BEI BIOMETRISCHEN DATEN

Aufgrund der besonderen Sensibilität biometrischer Daten (insbesondere Stimmen und Gesichter) gewähren wir Ihnen zusätzlich zu den in § 7 beschriebenen Rechten weitere Transparenz- und Kontrollmöglichkeiten.

8.1 Erweiterte Transparenzpflichten

Sie haben – ergänzend zu Ihrem Auskunftsrecht nach Art. 15 DSGVO – jederzeit das Recht, in klarer und verständlicher Form Informationen darüber zu erhalten:

• • welche biometrischen Daten (z.B. Stimmaufnahmen, Bild- und Videoaufnahmen mit Ihrem Gesicht) wir über Sie verarbeiten,

• • zu welchen Zwecken diese biometrischen Daten verarbeitet werden (z.B. Speicherung Ihrer Familienerinnerungen, Transkription, KI-gestützte Suche),

• • auf welcher Rechtsgrundlage die Verarbeitung erfolgt (insbesondere Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO),

• • welche Kategorien von Empfängern Zugriff auf diese Daten haben (insbesondere Sie selbst, von Ihnen berechtigte Familienadministratoren sowie unsere Auftragsverarbeiter, siehe § 4), und • wie lange Ihre biometrischen Daten gespeichert werden bzw. nach welchen Kriterien sich die Speicherdauer richtet.

8.2 Löschung biometrischer Daten

Sie können Ihre biometrischen Daten in der App weitgehend selbst verwalten und löschen, insbesondere: Video-, Audio- und Bilddateien, die Ihre Stimme oder Ihr Gesicht enthalten, daraus erstellte Transkripte sowie hieraus abgeleitete biometrische Merkmale (Embeddings). Diese Daten stellen regelmäßig besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO dar und werden daher mit erhöhten Schutzanforderungen verarbeitet. Wenn Sie entsprechende Inhalte in der App löschen, werden in der Regel auch die zugehörigen Transkripte und Embeddings nach Maßgabe von § 11 dieser Datenschutzerklärung gelöscht; dies umfasst insbesondere die dort beschriebenen technischen Löschfristen (z.B. für aktive Systeme und Backups).

• Auf Ihren Wunsch nehmen wir – soweit technisch möglich und zumutbar – zusätzliche Löschungen vor (z.B. bei komplexen Familienkonstellationen oder wenn Sie Unterstützung beim Auffinden bestimmter Inhalte benötigen). In diesem Rahmen orientieren wir uns ebenfalls an den in § 11 beschriebenen Löschprozessen und Fristen.

• Bitte beachten Sie, dass das Recht auf Löschung nach Art. 17 DSGVO – auch bei biometrischen Daten – nicht uneingeschränkt gilt. Eine vollständige Löschung biometrischer Daten kann insbesondere dann eingeschränkt sein, wenn gesetzliche Aufbewahrungspflichten bestehen (z.B. handels- oder steuerrechtliche Fristen), die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist oder einer der in Art. 17 Abs. 3 DSGVO genannten Ausnahmetatbestände vorliegt. Darüber hinaus kann eine vollständige Löschung eingeschränkt sein, wenn überwiegende berechtigte Interessen anderer betroffener Personen (z.B. Familienangehörige, die dieselben Aufnahmen nutzen) oder von emori an der weiteren Speicherung im Rahmen der in dieser Datenschutzerklärung beschriebenen Zwecke bestehen.

• In solchen Fällen schränken wir die Verarbeitung nach Möglichkeit ein (z.B. durch Sperrung, Pseudonymisierung oder Beschränkung der Zugriffsrechte) und informieren Sie über die Gründe, aus denen eine sofortige vollständige Löschung nicht möglich ist. Die allgemeinen Regelungen zu Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit in §§ 7 und 11 dieser Datenschutzerklärung – einschließlich der dort beschriebenen Fristen und etwaiger gesetzlicher Aufbewahrungspflichten – bleiben hiervon unberührt.

8.3 Keine biometrische Authentifizierung

Wir verwenden Ihre biometrischen Daten niemals für Zwecke der Identifikation oder Authentifizierung natürlicher Personen oder für sonstige biometrische Abgleiche.

• Gesichtserkennung zur Authentifizierung oder Identifikation

• Stimmerkennung zur Identifikation oder Authentifizierung

• Verhaltensanalysen oder sonstige Auswertungen zu Überwachungs- oder Marketingzwecken

• Profiling außerhalb des Familienkontexts oder Profiling mit Rechtswirkung bzw. ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO

8.4 KI-gestützte Verarbeitung Ihrer Aufnahmen

Damit Sie Ihre Erinnerungen durchsuchen und die Gesprächsfunktion nutzen können, werden Ihre Aufnahmen automatisch in Text umgewandelt; aus diesen Transkripten entstehen numerische Vektoren (Embeddings). Welche Auftragsverarbeiter daran beteiligt sind, wo die Verarbeitung stattfindet und wie lange die Ergebnisse gespeichert werden, beschreibt § 3.2 im Einzelnen.

• Diese Verarbeitung ist Bestandteil der Leistung: Ohne Transkription gibt es keine Suche in gesprochenen Inhalten und keine Gesprächsfunktion. Ein Abschalten der KI-Verarbeitung bei gleichzeitiger weiterer Nutzung dieser Funktionen bieten wir derzeit nicht an.

• Sie behalten die Kontrolle über die zugrunde liegenden Inhalte: Löschen Sie eine Aufnahme, werden das zugehörige Transkript und die Embeddings nach Maßgabe von § 11 gelöscht.

• Ihre Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten können Sie nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen (§ 7.7 und § 10.1). Wir stellen die Verarbeitung der betroffenen Aufnahmen dann ein und löschen die daraus abgeleiteten Transkripte und Embeddings. Bitte wenden Sie sich hierfür an datenschutz@emori.app.

Eine Übersicht der Verarbeitungen finden Sie in der App unter „Profil → Meine Einwilligungen”.

§ 9 MINDERJÄHRIGENSCHUTZ

9.1 Altersgrenze und Einwilligung der Erziehungsberechtigten

emori richtet sich an Personen ab 16 Jahren. Diese Altersgrenze orientiert sich an Art. 8 Abs. 1 DSGVO in Verbindung mit dem in Deutschland geltenden Recht zur Einwilligungsfähigkeit von Kindern im Online-Bereich.

Minderjährige unter 16 Jahren sind von der Nutzung nicht ausgeschlossen. Sie dürfen emori jedoch nur nutzen, wenn die Erziehungsberechtigten zuvor in Textform eingewilligt haben.

Unabhängig davon sind Minderjährige bis zur Vollendung des 18. Lebensjahres nur beschränkt geschäftsfähig (§§ 106 ff. BGB); der Nutzungsvertrag kommt wirksam nur mit Zustimmung der Erziehungsberechtigten zustande. Die vertraglichen Einzelheiten regelt § 2.1.1 unserer AGB.

9.2 Abfrage des Geburtsdatums

Im Rahmen der Registrierung fragen wir Ihr Geburtsdatum ab.

Warum wir dazu verpflichtet sind: Beruht eine Verarbeitung auf einer Einwilligung und ist die betroffene Person ein Kind, haben wir nach Art. 8 Abs. 2 DSGVO unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen zu unternehmen, um uns zu vergewissern, dass die Einwilligung durch die Träger der elterlichen Verantwortung erteilt wurde. Diese Pflicht können wir nur erfüllen, wenn uns das Alter bekannt ist. Die Abfrage dient damit vorrangig dem Schutz Minderjähriger sowie der Erfüllung unserer Sorgfalts- und Vorsorgepflichten nach Art. 8 und Art. 25 DSGVO und § 24a JuSchG.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung); ergänzend Art. 6 Abs. 1 lit. b DSGVO, soweit die Angabe zugleich der Durchführung des Nutzungsvertrages und der Einordnung Ihrer Erinnerungen in die Lebensphasen dient.

Was wir mit der Angabe tun und was nicht: Wir speichern das Geburtsdatum in Ihrem Profil und halten den Zeitpunkt der Angabe fest. Eine Überprüfung der Richtigkeit findet nicht statt; es erfolgt keine Alterserkennung, keine Ausweisprüfung und keine Weitergabe der Angabe an Dritte.

Speicherdauer: solange Ihr Account besteht; im Übrigen gilt § 2.1.

9.3 Verantwortung der Erziehungsberechtigten

Erziehungsberechtigte, die ihrem Kind die Nutzung von emori gestatten, sind verpflichtet, zuvor die erforderliche Einwilligung zu erteilen und die Nutzung im Rahmen ihrer Aufsichtspflicht zu begleiten.

• Sie entscheiden, welche Inhalte das Kind aufnimmt, einstellt und mit wem es sie teilt.

• Sie sind dafür verantwortlich, dass die vom Kind eingestellten Inhalte keine Rechte Dritter verletzen und dass für abgebildete Personen die erforderlichen Einwilligungen vorliegen (§ 9.4).

• Für Schäden, die aus einer Verletzung der Aufsichtspflicht entstehen, haften Erziehungsberechtigte nach den gesetzlichen Vorschriften (§ 832 BGB). Die Verantwortlichkeit des Kindes selbst richtet sich nach den §§ 828, 829 BGB.

Eine unzutreffende Altersangabe lässt diese Pflichten unberührt.

9.4 Aufnahmen von Minderjährigen

Wenn Sie Aufnahmen von Personen unter 16 Jahren erstellen oder hochladen, gelten folgende Voraussetzungen:

• Die ausdrückliche Einwilligung der Erziehungsberechtigten ist erforderlich.

• Diese Einwilligung muss vor dem Upload der Aufnahmen vorliegen.

• Sie müssen diese Einwilligung nachweisen können (z. B. durch Verwendung unseres Einwilligungsformulars oder eine vergleichbare dokumentierte Erklärung).

• Sie sind mitverantwortlich für die Rechtmäßigkeit der Einwilligung und sichern zu, nur solche Aufnahmen hochzuladen, für die eine wirksame elterliche Einwilligung vorliegt. emori bleibt in Bezug auf die Verarbeitung der Aufnahmen Verantwortlicher im Sinne der DSGVO und kann stichprobenartig Nachweise anfordern.

Ein Muster für die Einwilligung der Erziehungsberechtigten stellen wir Ihnen auf Anfrage unter datenschutz@emori.app zur Verfügung.

9.5 Besondere Schutzrechte für Minderjährige

Minderjährige oder deren Erziehungsberechtigte haben zusätzlich zu den allgemeinen Betroffenenrechten nach § 7 und den besonderen Regelungen zu biometrischen Daten in § 8 dieser Datenschutzerklärung insbesondere das Recht:

• Jederzeit alle Aufnahmen des Minderjährigen zu löschen (unter Beachtung der in § 7 und § 11 beschriebenen Ausnahmen und Fristen)

• Die Verarbeitung der Daten des Minderjährigen einzuschränken (gemäß Art. 18 DSGVO und § 7.4 dieser Datenschutzerklärung)

• Der KI-Verarbeitung der Daten des Minderjährigen zu widersprechen bzw. diese zu deaktivieren (Opt-out gemäß § 8.4 und den allgemeinen Widerspruchs- und Widerrufsrechten in § 7 und § 10)

• Einen vollständigen Export aller den Minderjährigen betreffenden Daten zu verlangen (Datenübertragbarkeit gemäß Art. 20 DSGVO, § 7.5 und § 11)

9.6 Meldung unerlaubter Aufnahmen

Wenn Sie glauben, dass Aufnahmen von Minderjährigen ohne erforderliche Einwilligung der Erziehungsberechtigten oder sonst unrechtmäßig hochgeladen wurden, kontaktieren Sie uns umgehend: E-Mail: hallo@emori.app Wir prüfen jeden Hinweis sorgfältig, ergreifen erforderliche Maßnahmen zum Schutz der betroffenen Minderjährigen und löschen rechtswidrige Inhalte unverzüglich, soweit dem keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.

§ 10 WIDERSPRUCHS- UND WIDERRUFSRECHT

10.1 Widerruf von Einwilligungen

Sie haben das Recht, jede von Ihnen erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO). Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung, die bis zum Widerruf auf Grundlage der Einwilligung erfolgt ist.

Der Widerruf ist formfrei möglich und muss für Sie ebenso einfach sein wie die Erteilung der Einwilligung. Sie können Ihre Einwilligungen insbesondere über folgende Kanäle widerrufen:

• in der App: Profil → „Meine Einwilligungen“

• bei werblichen E-Mails zusätzlich: über den Abmeldelink am Ende jeder Nachricht (siehe § 2.3)

• per E-Mail an: datenschutz@emori.app

• per Post an: emori GmbH, Philippsthaler Dorfstraße 60B, 14558 Nuthetal

• Je nach betroffener Einwilligung kann ein Widerruf dazu führen, dass bestimmte Funktionen von emori nur eingeschränkt oder gar nicht mehr zur Verfügung stehen (z.B. KI-gestützte Verarbeitung, Teilnahme an einem Familienaccount).

• Im Übrigen gelten die in dieser Datenschutzerklärung im Zusammenhang mit den jeweiligen Verarbeitungsvorgängen beschriebenen Folgen des Widerrufs, insbesondere die Ausführungen in § 7.7 (Widerrufsrecht bei Einwilligungen), § 3.2 (KI-gestützte Verarbeitung), § 3.1 (Aufnahmen), § 2.2 (Familien-Account) und § 11 (Löschung und Datenübertragbarkeit).

Widerruf von

Folge

Datenlöschung

Registrierung

Account-Löschung

Vollständig innerhalb 30 Tage

Nutzer-Medien

Löschung aller Video/Audio

Innerhalb 48 Stunden

KI-Verarbeitung

Transkripte/Embeddings gelöscht

Innerhalb 7 Tage

Familienaccount

Austritt aus Familie

Persönliche Daten gelöscht, Inhalte optional

Marketing

Keine Werbemails mehr

E-Mail-Adresse auf Blacklist

Bestätigung: Sie erhalten innerhalb von 72 Stunden eine Bestätigung des Widerrufs und der ergriffenen Maßnahmen per E-Mail.

10.2 Widerspruch gegen Datenverarbeitung

Sie haben nach Art. 21 DSGVO das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, soweit diese Verarbeitung auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO beruht.

Voraussetzung: Widerspruch ist möglich, wenn die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (insbesondere bei auf berechtigte Interessen gestützten Verarbeitungen) erfolgt.

Bei emori betrifft dies insbesondere:

• Server-Logs zur IT-Sicherheit

• anonymisierte oder pseudonymisierte Nutzungsstatistiken (falls implementiert)

• Fraud-Prevention-Maßnahmen

Wie widersprechen Sie:

• Per E-Mail an: datenschutz@emori.app

• Sie können Ihren Widerspruch formfrei erklären; bitte geben Sie – soweit Ihr Widerspruch nicht die Direktwerbung betrifft – kurz an, gegen welche Verarbeitung und aus welchen Gründen (Ihre besondere Situation) Sie Widerspruch einlegen.

Prüfung: Legen Sie Widerspruch nach Art. 21 Abs. 1 DSGVO ein, prüfen wir, ob zwingende schutzwürdige Gründe für die weitere Verarbeitung bestehen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder ob die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Ist dies nicht der Fall, stellen wir die Verarbeitung für die betroffenen Zwecke ein.

Direktwerbung: Soweit wir Ihre Daten für Zwecke der Direktwerbung oder eines damit verbundenen Profilings verarbeiten, können Sie dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen. In diesem Fall verarbeiten wir Ihre personenbezogenen Daten nicht mehr zu Zwecken der Direktwerbung; eine Interessenabwägung findet insoweit nicht statt.

§ 11 LÖSCHUNG UND DATENÜBERTRAGBARKEIT

11.1 Datenlöschung im Detail

11.1.1 Einzelne Inhalte löschen

Sie können jederzeit einzelne Inhalte löschen, insbesondere:

• einzelne Erinnerungen (Videos, Audios, Bilder),

• einzelne Erlebnisse sowie

• einzelne Familienmitglieder (nur Administratoren).

Vorgehensweise:

• In der App: Inhalt auswählen → Menü → „Löschen“ → Bestätigung.

• Technische Umsetzung und Fristen: Medien-Dateien werden in der Regel innerhalb von 48 Stunden aus den aktiven Systemen gelöscht, zugehörige Transkripte und Embeddings werden innerhalb von 7 Tagen gelöscht und Sicherungskopien (Backups) werden im Rahmen der vorgesehenen technischen Überschreibungszyklen, spätestens nach 90 Tagen, überschrieben, soweit dem keine gesetzlichen Aufbewahrungspflichten, Erfordernisse zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder sonstige in Art. 17 Abs. 3 DSGVO genannte Ausnahmetatbestände entgegenstehen.

Rechtsgrundlagen und Einschränkungen:

Die Löschung erfolgt im Rahmen der gesetzlichen Vorgaben. Soweit gesetzliche Aufbewahrungspflichten bestehen oder die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, kann die Löschung einzelner Daten hinausgeschoben oder durch eine Einschränkung der Verarbeitung ersetzt werden (vgl. §§ 7 und 11 dieser Datenschutzerklärung).

11.1.2 Gesamten Account löschen

• Vorgehensweise:

• In der App: Profil → „Konto löschen“ → Sicherheitsabfrage (Passwort-Bestätigung) → optionale Feedback-Möglichkeit.

• Was wird grundsätzlich gelöscht:

Ihr Profil (Name, E‑Mail, Passwort),

• alle Ihre persönlichen Einstellungen,

• Ihre Rolle in Familienaccounts und

• – je nach gewählter Option – die von Ihnen erstellten Inhalte (siehe unten).

• Besonderheit bei Familienaccounts:

Bei der Löschung Ihres Accounts können Sie zwischen folgenden Optionen wählen:

Option A: Inhalte behalten (anonymisiert)

• Ihre Erinnerungen und Erlebnisse bleiben im Familienaccount erhalten,

• Ihr Name wird durch eine neutrale Bezeichnung (z.B. „Ehemaliges Mitglied“) ersetzt und

• Familienangehörige können weiterhin auf diese Inhalte zugreifen.

Option B: Inhalte vollständig löschen

• Alle von Ihnen erstellten Inhalte werden gelöscht.

• Haben andere Familienmitglieder zu einem Erlebnis beigetragen, bleiben deren Beiträge im Familienaccount erhalten.

Wir setzen Ihre gewählte Option im Rahmen der gesetzlichen Vorgaben und der technischen Möglichkeiten um. Soweit dem eine Pflicht zur Aufbewahrung oder überwiegende berechtigte Interessen anderer Familienmitglieder oder von emori entgegenstehen, kann anstelle der vollständigen Löschung eine Anonymisierung oder Einschränkung der Verarbeitung erfolgen.

Zeitrahmen:

• Persönliche Daten werden in der Regel unverzüglich nach Bestätigung der Account-Löschung gelöscht,

• Medien-Dateien werden innerhalb von 48 Stunden aus den aktiven Systemen gelöscht und

• Backups werden im Rahmen der vorgesehenen Überschreibungszyklen, spätestens nach 90 Tagen, überschrieben.

Bestätigung: Sie erhalten nach Abschluss der Löschung eine Bestätigungs-E-Mail, in der die erfolgten Maßnahmen (einschließlich der von Ihnen gewählten Option im Familienaccount) zusammengefasst werden.

11.2 Datenübertragbarkeit (Data Portability)

Sie haben nach Art. 20 DSGVO das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO) oder eines Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO) mithilfe automatisierter Verfahren verarbeiten, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und – soweit technisch machbar – an einen anderen Verantwortlichen übertragen zu lassen.

Export-Optionen (Umfang und Grenzen): Das Recht auf Datenübertragbarkeit umfasst insbesondere die von Ihnen bereitgestellten Stammdaten und Inhalte sowie bestimmte im Rahmen der Nutzung entstandene Metadaten und Transkripte. Es gilt nicht für alle Datenkategorien (z.B. interne Protokolle, Bewertungsdaten) und steht unter dem Vorbehalt der technischen Machbarkeit und der Rechte Dritter.

11.2.1 Vollständiger Export

Enthält – soweit von Ihnen betroffen und technisch verfügbar – insbesondere:

• Profil-Daten (JSON): Name, E-Mail, Einstellungen

• Familien-Struktur (JSON): Mitglieder, Rollen, Beziehungen

• Metadaten (JSON): Liste aller Erinnerungen und Erlebnisse mit Zeitstempeln, Kategorien, Beschreibungen

• Transkripte (JSON): Alle Transkripte Ihrer Aufnahmen

• Original-Medien: Alle Videos, Audios, Bilder — gemeinsam mit den JSON-Dateien in einer ZIP-Datei

§ 12 BESCHWERDERECHT BEI AUFSICHTSBEHÖRDE

12.1 Ihr Beschwerderecht (Art. 77 DSGVO)

Sie haben gemäß Art. 77 DSGVO das Recht, sich jederzeit bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Dieses Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe. Sie können Ihre Beschwerde insbesondere bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes einreichen.

12.2 Zuständige Aufsichtsbehörde in Deutschland

Primär zuständig (am Sitz unseres Unternehmens):

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg Stahnsdorfer Damm 77 14532 Kleinmachnow Deutschland

Kontakt:

• Telefon: +49 33203 356-0

• Fax: +49 33203 356-49

• E-Mail: Poststelle@LDA.Brandenburg.de

• Website: https://www.lda.brandenburg.de

• Online-Beschwerdeformular: https://www.lda.brandenburg.de/beschwerde

Weitere Zuständigkeit: Sie können sich daneben auch an die Datenschutzbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

12.3 Aufsichtsbehörden in Österreich und der Schweiz

Österreich: Österreichische Datenschutzbehörde Barichgasse 40-42 1030 Wien Telefon: +43 1 52 152-0 E-Mail: dsb@dsb.gv.at Website: https://www.dsb.gv.at

Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Feldeggweg 1 3003 Bern Telefon: +41 58 462 43 95 E-Mail: info@edoeb.admin.ch Website: https://www.edoeb.admin.ch

12.4 Was passiert nach einer Beschwerde?

• Die zuständige Aufsichtsbehörde prüft Ihre Beschwerde und kann hierzu weitere Informationen von Ihnen anfordern.

• Wir werden gegebenenfalls von der Aufsichtsbehörde zur Stellungnahme aufgefordert und müssen zu den von Ihnen vorgebrachten Punkten Stellung nehmen.

• Die Behörde entscheidet über die Beschwerde und kann Maßnahmen anordnen (z.B. die Anpassung oder Einschränkung der Verarbeitung, Löschung von Daten oder die Verhängung von Bußgeldern).

• Sie werden über den Stand und das Ergebnis Ihrer Beschwerde durch die Aufsichtsbehörde informiert.

Unser Umgang mit Beschwerden: Wir nehmen jede Beschwerde ernst und arbeiten konstruktiv mit den Aufsichtsbehörden zusammen, um etwaige Datenschutzverstöße zu vermeiden, aufzuklären und abzustellen.

§ 13 ÄNDERUNGEN DER DATENSCHUTZERKLÄRUNG

13.1 Aktualisierungen

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte rechtliche Vorgaben, behördliche Anforderungen oder Änderungen unserer Dienste sowie der damit verbundenen Datenverarbeitung anzupassen. Dabei achten wir darauf, die Informationen nach Art. 12 ff. DSGVO stets aktuell, transparent und verständlich zu halten. Unabhängig davon bleiben Ihre gesetzlichen Rechte (insbesondere nach der DSGVO) von Änderungen dieser Datenschutzerklärung unberührt.

13.2 Benachrichtigung bei wesentlichen Änderungen

Bei wesentlichen Änderungen dieser Datenschutzerklärung (z.B. Einführung neuer Verarbeitungszwecke, neue Kategorien von Empfängern, wesentlich geänderte Speicherfristen oder neue Datenkategorien) informieren wir Sie rechtzeitig vor dem Wirksamwerden.

• In der Regel informieren wir Sie mindestens 30 Tage vor Inkrafttreten per E-Mail und/oder durch eine gut sichtbare In-App-Benachrichtigung, soweit Ihnen ein Account bzw. ein entsprechender Zugang zur Verfügung steht.

• Die jeweils vorherige Fassung stellen wir Ihnen auf Anfrage unter datenschutz@emori.app zur Verfügung.

• Soweit eine Änderung dazu führt, dass Verarbeitungen auf eine neue Rechtsgrundlage gestützt werden oder sich Zwecke wesentlich ändern, holen wir – sofern erforderlich – Ihre Einwilligung neu ein oder informieren Sie über Ihre bestehenden Widerspruchs- und Kündigungsrechte.

Bei geringfügigen Änderungen (z.B. redaktionellen Anpassungen, Klarstellungen oder Ergänzungen ohne wesentliche Auswirkungen auf Art, Umfang oder Zwecke der Verarbeitung) informieren wir Sie in geeigneter Weise, z.B. durch eine In-App-Benachrichtigung oder einen Hinweis in der App bzw. auf unserer Website.

• Solche geringfügigen Änderungen treten mit Veröffentlichung der aktualisierten Datenschutzerklärung in Kraft.

13.3 Versionierung

Aktuelle Version: Version 2.0 vom 1. September 2026. Gegenüber Version 1.1 vom 13. August 2026 neu gefasst: § 2.1.1 und § 2.1.2 (Anmeldung über Apple oder Google, Herunterladen aus den App-Stores), § 3.2 (besondere Kategorien beim Erzählen), § 4.2 bis § 4.4 (Auftragsverarbeiter, Verarbeitungsorte und Drittlandübermittlung), § 5.1 und § 5.3 (Produktanalyse), § 7.5 und § 11.2 (Exportformate), § 8.4 (KI-gestützte Verarbeitung) sowie § 9 vollständig (Minderjährigenschutz, Abfrage des Geburtsdatums, Verantwortung der Erziehungsberechtigten).

Änderungshistorie: Frühere Fassungen dieser Datenschutzerklärung erhalten Sie auf Anfrage unter datenschutz@emori.app.

13.4 Widerspruch und Kündigung im Zusammenhang mit Änderungen

Änderungen dieser Datenschutzerklärung ändern nicht die gesetzlichen Voraussetzungen für die Verarbeitung Ihrer personenbezogenen Daten. Ihre Rechte auf Widerspruch, Widerruf von Einwilligungen, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit ergeben sich aus der DSGVO und werden in § 7 dieser Datenschutzerklärung erläutert.

• Soweit Sie mit einer Änderung nicht einverstanden sind und die Verarbeitung auf einer Interessenabwägung (Art. 6 Abs. 1 lit. f DSGVO) oder Ihrer Einwilligung beruht, können Sie der entsprechenden Verarbeitung widersprechen bzw. eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Hierdurch bleiben die bis dahin rechtmäßig erfolgten Verarbeitungen unberührt.

• Unabhängig davon können Sie Ihren Nutzungsvertrag mit uns jederzeit gemäß den vertraglich vereinbarten Kündigungsregelungen beenden und Ihren Account löschen. In diesem Fall verarbeiten wir Ihre personenbezogenen Daten nur noch, soweit wir hierzu gesetzlich verpflichtet sind oder berechtigte Interessen (z.B. Aufbewahrungspflichten, Rechtsverteidigung) bestehen.

• Ein darüber hinausgehendes Sonderkündigungs- oder Widerspruchsrecht wird durch diese Regelung nicht ausgeschlossen; zwingende gesetzliche Rechte bleiben unberührt.

§ 14 KONTAKT UND WEITERE INFORMATIONEN

14.1 Datenschutz-Kontakt

Allgemeine Datenschutzfragen: Für alle Fragen zur Verarbeitung Ihrer personenbezogenen Daten und zum Datenschutz bei emori erreichen Sie uns per E-Mail unter datenschutz@emori.app. Wir antworten in der Regel innerhalb von 48 Stunden.

Datenschutzbeauftragter: Wir haben einen externen Datenschutzbeauftragten bestellt:

heyData GmbH Schützenstraße 5 10117 Berlin

Web: www.heydata.eu E-Mail: datenschutz@heydata.eu

Auskunftsersuchen und Betroffenenrechte: Zur Ausübung Ihrer Betroffenenrechte (z.B. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf von Einwilligungen) können Sie uns per E-Mail an datenschutz@emori.app oder über die App (Profil → „Deine Daten”) kontaktieren.

Meldung von Datenschutzverstößen oder Missbrauch: Wenn Sie einen möglichen Datenschutzverstoß oder Missbrauch unserer Dienste melden möchten, schreiben Sie bitte an datenschutz@emori.app . Wir behandeln jeden Hinweis vertraulich und prüfen ihn unverzüglich.

14.2 Unternehmenskontakt

emori GmbH , Philippsthaler Dorfstraße 60B , 14558 Nuthetal , Deutschland

Geschäftsführer: Sebastian Hartung, Ansgar Nanke , Registergericht: Amtsgericht Potsdam , Handelsregisternummer: HRB 42079 P , USt-IdNr.: DE462467685

Allgemeine Anfragen: Für sonstige nicht-datenschutzbezogene Fragen erreichen Sie uns per E-Mail unter hallo@emori.app

Support: Für technischen Support und Hilfe bei der Nutzung der App wenden Sie sich bitte per E-Mail an hallo@emori.app.

14.3 Weitere rechtliche Dokumente

• Nutzungsbedingungen (AGB): www.emori.app/agb

• Datenschutzerklärungen: Datenschutzbestimmung

• Widerrufsbelehrung: https://emori.app/widerruf

• Cookie-Richtlinie: Cookie-Einstellungen — emori

• Impressum: Impressum

14.4 Externe Datenschutzerklärungen unserer Partner

• Supabase: https://supabase.com/privacy

• StackIT: https://www.stackit.de/de/datenschutz/

• OpenAI: https://openai.com/privacy/

• RevenueCat: https://www.revenuecat.com/privacy

• Stripe: https://stripe.com/privacy

• Resend: Privacy Policy · Resend

• Google: Privacy Policy – Privacy & Terms – Google

• Sentry.io: Privacy Policy 3.3.2 (October 29, 2025) | Sentry

• IONOS https://www.ionos.de/hilfe/datenschutz/