Datenschutzerklärung für myQiu/BioSign HRV

Version 1.1 Stand September 2026

1. Allgemeine Hinweise

Mit dieser Datenschutzerklärung informieren wir Sie darüber, wie die BioSign GmbH personenbezogene Daten bei der Nutzung von myQiu verarbeitet.

myQiu ermöglicht die Erfassung, Speicherung, Auswertung und Darstellung von Daten zur Herzratenvariabilität (HRV). Messdaten können von einem über Bluetooth verbundenen Messgerät an myQiu übertragen und auf unseren Serversystemen verarbeitet werden.

Die dabei verarbeiteten Mess- und Auswertungsdaten können Rückschlüsse auf den Gesundheitszustand ermöglichen. Wir behandeln diese Daten daher als Gesundheitsdaten und damit als besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO.

2. Verantwortlicher

BioSign GmbH
Brunnenstr. 21
85570 Ottenhofen
Deutschland
 
Geschäftsführer: Dr. Reinhard D. Beise
Telefon: +49 8121 923894
E-Mail: info@biosign.de
Webseite: www.biosign.de
Registergericht: Amtsgericht München
Handelsregisternummer: HRB 135220
Umsatzsteuer-Identifikationsnummer: DE 213294143

3. Datenschutzbeauftragter

Dr. Markus Hofer
Datenschutzbeauftragter
BioSign GmbH
Brunnenstr. 21
85570 Ottenhofen
Deutschland
E-Mail: datenschutz@biosign.de

4. Welche Daten verarbeiten wir?

4.1 Konto- und Registrierungsdaten

Für die Einrichtung und Verwaltung eines myQiu-Kontos können insbesondere folgende Daten verarbeitet werden:

·        Benutzername und Authentifizierungsdaten,

·        E-Mail-Adresse,

·        Anrede und Titel, soweit angegeben,

·        Vor- und Nachname oder ein vom Nutzer gewähltes Pseudonym,

·        Geburtsdatum bzw. Geburtsjahr,

·        Geschlecht, soweit angegeben,

·        Körpergröße, soweit angegeben,

·        Adressdaten, soweit für das Konto hinterlegt,

·        Sprache und Zeitzone,

·        Lizenz- und Kontostatus.

Soweit technisch und für die gewünschte Nutzung möglich, kann anstelle von Vor- und Nachname ein Pseudonym verwendet werden. Das Alter bzw. Geburtsjahr kann für die Berechnung und Einordnung bestimmter HRV-Werte erforderlich sein.

4.2 Mess-, HRV- und Gesundheitsdaten

Bei der Durchführung und Auswertung von Messungen verarbeitet myQiu insbesondere:

·        Interbeat-Intervalle (IBI bzw. Herzschlagabstände),

·        beim Messsystem Qiu+ zusätzlich das Pulskurvensignal,

·        aus den Messdaten berechnete HRV-Parameter und Auswertungen,

·        Zeitpunkt, Dauer und historische Verläufe der Messungen,

·        gegebenenfalls weitere mit der Messung verbundene Angaben.

Diese Daten werden als Gesundheitsdaten gemäß Art. 9 Abs. 1 DSGVO behandelt.

4.3 Daten von Coaches und Coach-Freigaben

Coach-Konten können ausschließlich von volljährigen Personen genutzt werden. Für registrierte Coaches werden die zur Einrichtung und Verwaltung des Coach-Kontos erforderlichen Konto- und Kontaktdaten verarbeitet. Ein Coach erhält aufgrund seiner Registrierung nicht automatisch Zugriff auf Mess- oder Gesundheitsdaten eines Nutzers. Ein Zugriff erfolgt ausschließlich aufgrund einer aktiven Freigabe durch den Nutzer beziehungsweise bei minderjährigen Nutzern im Rahmen des hierfür vorgesehenen Zustimmungsprozesses.

myQiu speichert außerdem, welchem Coach ein Nutzer eine Freigabe erteilt hat. Ein Nutzer kann maximal zwei Coaches gleichzeitig freigeben. Im Rahmen einer bestehenden Freigabe kann der Coach die hierfür vorgesehenen Mess- und Auswertungsdaten einsehen, herunterladen und analysieren. Die Freigabe kann jederzeit aufgehoben werden; der Zugriff des betreffenden Coaches über myQiu endet anschließend unmittelbar. Bereits zuvor rechtmäßig heruntergeladene Daten werden durch die Aufhebung der Freigabe nicht automatisch gelöscht.

4.4 Technische Login- und Application-Logs

Bei Anmeldevorgängen entstehen technische Login- bzw. Application-Logs. Diese dienen der technischen Sicherheit, Fehleranalyse und der Erkennung unberechtigter Zugriffe. Die reguläre Aufbewahrungsdauer beträgt 28 Tage; anschließend werden diese Protokolldaten gelöscht.

4.5 Support- und Kommunikationsdaten

Wenn Sie Kontakt mit uns aufnehmen, verarbeiten wir die von Ihnen mitgeteilten Kontaktdaten, Angaben zum Benutzerkonto und den Inhalt Ihrer Anfrage, soweit dies zur Bearbeitung erforderlich ist.

4.6 Minderjährige Nutzer

myQiu kann auch für minderjährige Nutzer verwendet werden. In diesem Fall wird das Benutzerkonto durch eine volljährige Person eingerichtet oder verantwortet, die über die erforderliche Sorge-, Vertretungs- und Einwilligungsbefugnis verfügt.

Ein Coach kann ein Benutzerkonto für einen minderjährigen Nutzer nur im Auftrag einer entsprechend vertretungsberechtigten volljährigen Person anlegen.

Vor der Verarbeitung von Gesundheitsdaten eines minderjährigen Nutzers werden die nach den gesetzlichen Voraussetzungen erforderlichen Einwilligungen und Erklärungen eingeholt. Dabei werden Alter und Einsichtsfähigkeit des Minderjährigen berücksichtigt. Wird ein minderjähriger Nutzer volljährig, trifft er datenschutzrechtliche Entscheidungen und Coach-Freigaben künftig selbst.

5. Zwecke und Rechtsgrundlagen der Verarbeitung

5.1 Bereitstellung und Verwaltung des Benutzerkontos

Konto- und Registrierungsdaten werden verarbeitet, um Ihr myQiu-Konto einzurichten und zu verwalten und Ihnen die vereinbarten Funktionen bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5.2 Durchführung und Auswertung von HRV-Messungen

Messdaten werden verarbeitet, um die von Ihnen initiierten HRV-Messungen durchzuführen, HRV-Parameter zu berechnen, Ergebnisse auszuwerten, zu speichern und historische Verläufe darzustellen. Soweit hierbei Gesundheitsdaten verarbeitet werden, erfolgt die Verarbeitung auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Für die zur Erbringung der vereinbarten myQiu-Funktionen erforderliche allgemeine Datenverarbeitung ist ergänzend Art. 6 Abs. 1 lit. b DSGVO einschlägig.

5.3 Optionale Datenfreigabe an einen Coach

Volljährige Nutzer entscheiden selbst, ob sie einem bei myQiu registrierten Coach Zugriff auf die hierfür vorgesehenen Daten gewähren. Bei minderjährigen Nutzern erfolgt die Freigabe über den hierfür vorgesehenen Zustimmungsprozess unter Berücksichtigung der erforderlichen Erklärungen des Minderjährigen und der vertretungsberechtigten volljährigen Person. Ein Zugriff erfolgt erst aufgrund der aktiven Freigabe. Soweit Gesundheitsdaten offengelegt werden, beruht die Freigabe auf einer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO. Die Coach-Freigabe ist freiwillig und keine Voraussetzung für die allgemeinen myQiu-Funktionen.

5.4 Technischer Betrieb und IT-Sicherheit

Technische Protokolldaten verarbeiten wir zur Sicherstellung eines sicheren und funktionsfähigen Betriebs von myQiu, zur Fehleranalyse sowie zur Erkennung und Abwehr unberechtigter Zugriffe und sonstiger Sicherheitsvorfälle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Sicherheit, Stabilität und Funktionsfähigkeit von myQiu sowie im Schutz der verarbeiteten Daten.

5.5 Support und gesetzliche Pflichten

Support- und Kommunikationsdaten verarbeiten wir je nach Gegenstand der Anfrage auf Grundlage von Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Soweit gesetzliche Aufbewahrungs-, Nachweis- oder sonstige Pflichten bestehen, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

6. Erforderlichkeit der Bereitstellung von Daten

Bestimmte Konto- und Authentifizierungsdaten sind erforderlich, um ein myQiu-Konto einzurichten und die vereinbarten Leistungen bereitzustellen. Ohne die für eine HRV-Messung erforderlichen Messdaten können die entsprechenden Mess-, Berechnungs- und Auswertungsfunktionen nicht angeboten werden. Die Freigabe an einen Coach ist freiwillig.

7. Zugriff durch Coaches

Ein registrierter Coach hat zunächst keinen Zugriff auf Gesundheits- oder Messdaten anderer Nutzer. Volljährige Nutzer wählen selbst aus, ob und welchem Coach sie Zugriff gewähren; bei minderjährigen Nutzern erfolgt die Freigabe über den vorgesehenen Zustimmungsprozess. Es können höchstens zwei Coaches gleichzeitig freigegeben werden. Im Rahmen einer Freigabe kann der Coach die hierfür vorgesehenen Mess- und Auswertungsdaten einsehen, herunterladen und analysieren. Eine Freigabe kann jederzeit wieder aufgehoben werden. Der Zugriff über myQiu endet unmittelbar nach der Abwahl. Bereits rechtmäßig heruntergeladene Daten werden durch die Aufhebung einer Freigabe nicht automatisch gelöscht.

Soweit ein Coach ihm zugänglich gemachte oder heruntergeladene Daten anschließend für eigene Beratungs-, Coaching- oder sonstige fachliche Zwecke verarbeitet und hierbei selbst über Zwecke und Mittel dieser weiteren Verarbeitung entscheidet, ist der Coach für diese weitere Verarbeitung datenschutzrechtlich selbst verantwortlich.

8. Hosting, Datensicherung und Auftragsverarbeitung

Für den Betrieb der Server- und Backup-Infrastruktur von myQiu setzen wir die IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland, als Auftragsverarbeiter gemäß Art. 28 DSGVO ein. Mit IONOS besteht eine Vereinbarung zur Auftragsverarbeitung.

Die produktive Serverinfrastruktur von myQiu wird in Deutschland betrieben. Für Datensicherungen wird IONOS Cloud Backup eingesetzt. Als Zielregion der Backups ist Europa konfiguriert.

Die derzeitige Backup-Konfiguration sieht vollständige und differentielle Sicherungen, eine maximale Aufbewahrungsdauer von drei Wochen und eine AES-256-Verschlüsselung vor. Die Wiederherstellbarkeit wird durch Testwiederherstellungen überprüft.

Nach dem derzeit dokumentierten Stand sind für die eingesetzten Server- und Backup-Leistungen insbesondere Arsys Internet S.L.U. in Spanien sowie Acronis Germany GmbH in Deutschland als weitere Auftragsverarbeiter von IONOS relevant.

Die Verarbeitung durch IONOS erfolgt nach der geltenden Vereinbarung grundsätzlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum, soweit nicht für eine einzelne Leistung ein Drittlandtransfer erforderlich ist. Ein solcher Transfer darf nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO erfolgen.

9. Bluetooth und Standortberechtigung unter Android

myQiu nutzt Bluetooth ausschließlich zur Kommunikation mit kompatiblen Messgeräten. Bei bestimmten Android-Versionen kann das Betriebssystem für die Suche nach Bluetooth-Geräten eine Berechtigung verlangen, die als Standortberechtigung bezeichnet wird.

myQiu liest aufgrund dieser Berechtigung keine Standortdaten aus. Insbesondere werden keine GPS- oder sonstigen Standortkoordinaten erhoben oder gespeichert, keine Standortinformationen aus Bluetooth-Daten abgeleitet und keine Standortdaten an den myQiu-Server übertragen.

10. Verarbeitung auf dem Smartphone

Gesundheits- und Messdaten werden nicht dauerhaft auf dem Smartphone gespeichert. Eine lokale Verarbeitung erfolgt nur insoweit, wie dies für die jeweilige Messung und die Übertragung an das myQiu-Serversystem erforderlich ist.

11. Pseudonymisierung und Datentrennung

Gesundheits- und Messdaten werden getrennt von unmittelbar identifizierenden Stammdaten gespeichert. IBI-Daten, das beim Qiu+ erfasste Pulskurvensignal sowie daraus berechnete HRV-Parameter werden unter einer pseudonymen internen Kennung geführt. Die Zuordnung zum Benutzerkonto erfolgt über eine gesonderte technische Verknüpfung.

Da eine Zuordnung weiterhin möglich ist, handelt es sich um pseudonymisierte und nicht um anonymisierte Daten. Die Daten bleiben personenbezogene Daten und unterliegen weiterhin der DSGVO. Unmittelbar identifizierende Stammdaten werden verschlüsselt gespeichert.

12. Datensicherheit

Zum Schutz der personenbezogenen Daten setzen wir angemessene technische und organisatorische Maßnahmen ein. Dazu gehören insbesondere HTTPS/TLS für die Kommunikation zwischen Anwendung und Server, getrennte und pseudonymisierte Speicherung der Gesundheitsdaten, verschlüsselte Speicherung unmittelbar identifizierender Stammdaten, beschränkte administrative Zugriffsrechte, Firewall- und Updateverfahren sowie verschlüsselte und getestete Datensicherungen.

13. Speicherdauer und Löschung

13.1 Benutzerkonto und Gesundheitsdaten

Gesundheits- und Messdaten werden während des Bestehens des Benutzerkontos gespeichert, soweit dies für die historischen Mess- und Auswertungsfunktionen von myQiu erforderlich ist. Nach Ablauf der zuletzt aktivierten Lizenz kann das Benutzerkonto zunächst bestehen bleiben, damit es bei einer späteren Aktivierung einer neuen Lizenz erneut verwendet werden kann. Wird innerhalb von zwei Jahren nach Ablauf der letzten aktivierten Lizenz keine neue Lizenz aktiviert und das Benutzerkonto nicht bereits vorher gelöscht, werden das Benutzerkonto, die Stammdaten, Zuordnungsschlüssel sowie die zugeordneten Gesundheits- und Messdaten spätestens nach Ablauf dieses Zeitraums aus den Produktivsystemen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen gesetzlichen Gründe einer Löschung entgegenstehen. Löscht der Kunde das Benutzerkonto bereits vorher, erfolgt die Löschung der entsprechenden Produktivdaten ohne Abwarten dieses Zeitraums. In Backups noch vorhandene Daten werden entsprechend Ziffer 13.4 im Rahmen der Backup-Rotation entfernt.

13.2 Coach-Freigaben

Die Zugriffsberechtigung eines Coaches über myQiu endet bei Abwahl durch den Nutzer und spätestens mit Löschung des Benutzerkontos. Bereits zuvor rechtmäßig heruntergeladene Daten werden durch die Beendigung der Freigabe nicht automatisch gelöscht.

13.3 Login- und Application-Logs

Login- und Application-Logs werden für 28 Tage gespeichert und anschließend gelöscht.

13.4 Backups

Datensicherungen werden für höchstens drei Wochen aufbewahrt und anschließend im Rahmen der Backup-Rotation entfernt. In Backups noch vorhandene, zuvor aus dem Produktivsystem gelöschte Daten werden nicht für reguläre Produktivzwecke verwendet. Nach einer Wiederherstellung werden zwischenzeitlich erfolgte Löschungen erneut umgesetzt.

14. Widerruf von Einwilligungen

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Dies betrifft insbesondere die Verarbeitung von Gesundheitsdaten sowie die freiwillige Freigabe gegenüber einem Coach. Eine Coach-Freigabe kann durch Abwahl des betreffenden Coaches beendet werden. Für sonstige Datenschutzanliegen können Sie sich an datenschutz@biosign.de wenden.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Soweit die Verarbeitung bestimmter Gesundheitsdaten technisch erforderlich ist, um eine gewünschte HRV-Mess- oder Auswertungsfunktion bereitzustellen, kann ein Widerruf dazu führen, dass diese Funktion anschließend nicht mehr genutzt werden kann.

15. Newsletter

Soweit Sie sich für einen Newsletter der BioSign GmbH anmelden, verarbeiten wir Ihre E-Mail-Adresse für den Versand des Newsletters. Der Newsletter wird durch die BioSign GmbH selbst verwaltet; ein gesonderter externer Newsletter-Dienstleister wird nach dem derzeitigen Stand nicht eingesetzt.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, insbesondere über die im Newsletter vorgesehene Abmeldemöglichkeit oder durch eine Nachricht an uns. Nach der Abmeldung wird Ihre E-Mail-Adresse aus dem Newsletter-Verteiler entfernt, soweit keine andere Rechtsgrundlage für eine weitere Speicherung besteht.

16. Keine Nutzung für Werbung oder KI-Training

Die in myQiu gespeicherten Gesundheits- und Messdaten werden nach dem derzeitigen Verarbeitungskonzept nicht für personenbezogene Werbung, für das Training von KI- oder sonstigen Modellen oder für andere sachfremde Zwecke verwendet.

17. Automatisierte HRV-Auswertungen

myQiu berechnet automatisiert HRV-Parameter aus den erhobenen Messdaten und stellt daraus abgeleitete Auswertungen und Darstellungen bereit. Diese Berechnungen sind Bestandteil der angebotenen Analysefunktionen. Nach dem derzeitigen Verarbeitungskonzept erfolgt keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die gegenüber einem Nutzer rechtliche Wirkung entfaltet oder ihn in ähnlich erheblicher Weise beeinträchtigt.

18. Rechte betroffener Personen

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie insbesondere folgende Rechte:

·        Auskunft gemäß Art. 15 DSGVO,

·        Berichtigung gemäß Art. 16 DSGVO,

·        Löschung gemäß Art. 17 DSGVO,

·        Einschränkung der Verarbeitung gemäß Art. 18 DSGVO,

·        Datenübertragbarkeit gemäß Art. 20 DSGVO,

·        Widerspruch gemäß Art. 21 DSGVO,

·        Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft.

Zur Wahrnehmung Ihrer Datenschutzrechte können Sie sich an unseren Datenschutzbeauftragten unter datenschutz@biosign.de wenden.

19. Widerspruchsrecht

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie nach Maßgabe von Art. 21 DSGVO das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Nach einem berechtigten Widerspruch verarbeiten wir die betreffenden Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

20. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt.

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de
Webseite: www.lda.bayern.de

Sie können sich auch an eine andere nach der DSGVO zuständige Datenschutzaufsichtsbehörde wenden.

21. Änderungen dieser Datenschutzerklärung

Wir überprüfen diese Datenschutzerklärung regelmäßig und passen sie an, wenn sich Funktionen von myQiu, Datenverarbeitungen, technische Systeme, eingesetzte Dienstleister oder rechtliche Anforderungen ändern. Es gilt die jeweils aktuell veröffentlichte Fassung.