Datenschutzinformation „Selbsteinschätzung und Antrags-Service der Pia-App“
Stand: 03.11.2026. Freigegeben vom DSB (Markus Rothenhöfer) am 03.11.2026. Vorlage: freigegebene Fassung der Vera-Strecke (app-vera.de, 26.10.2026, Ergänzung Praxis-Nachfrage freigegeben 03.11.2026, Fassung 2).
1. Verantwortlicher
Endo Health GmbH, Theaterstraße 56, 09111 Chemnitz, vertreten durch Dr. med. Nadine Rohloff. E-Mail: support@pia.app. Datenschutzbeauftragter: Markus Rothenhöfer, datenschutz@endometriose.app.
2. Worum es geht
Auf app-pia.de (auch erreichbar unter test.pia.app) beantwortest du Fragen zu deinen Regelschmerzen, bekommst eine persönliche Einordnung und passende Inhalte der Pia-App und kannst auf Wunsch ein persönliches Anschreiben an deine Arztpraxis erstellen lassen, um die Pia-App verordnet zu bekommen. Die Pia-App ist eine digitale Gesundheitsanwendung (DiGA). Dieser Dienst liegt vor der Freischaltung der App.
3. Welche Daten, wofür, auf welcher Grundlage
| Daten | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Antworten im Fragebogen (Alter in Gruppen, Stärke und Dauer der Regelschmerzen, Begleitbeschwerden und deren Stärke, Alltag, seit wann, weitere Beschwerden außerhalb der Periode, ärztliche Abklärung, bisherige Maßnahmen, auf Wunsch mit einem kurzen eigenen Text zu „Sonstiges“ (höchstens 200 Zeichen, erscheint nicht im Anschreiben), Zyklus und Verhütung, Versicherungsart) | Einordnung erstellen, Inhalte vorschlagen, Anschreiben vorbereiten | Bis zur E-Mail-Bestätigung nur in deinem Browser. Danach ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO | bis zum Widerruf, längstens 12 Monate nach deiner letzten Aktivität |
| E-Mail-Adresse, Vorname (freiwillig) | Bestätigung per Code oder Link (Double-Opt-in), Zusendung deines Ergebnisses, des Anschreibens und von Infos zur Pia-App (z. B. Hinweise zu deinem Antrag); von Infos und Erinnerungen kannst du dich in jeder Mail mit einem Klick abmelden | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO | wie oben |
| Name, Geburtsdatum, Anschrift, Krankenkasse, Versichertennummer (freiwillig), Unterschrift, gewählte Praxis | Persönliches Anschreiben an deine Praxis erstellen und in deinem Auftrag übermitteln | Ausdrückliche Einwilligung und Auftrag, Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a und b DSGVO | wie oben; das PDF des Anschreibens wird mit deinem Datensatz gelöscht |
| Handynummer (freiwillig) und dein Einverständnis zum Rückruf | Rückruf und Nachfassen, falls es mit deiner Praxis hakt. Wir fragen danach erst, wenn dein Antrag abgeschickt ist; die Nummer steht nicht im Anschreiben an deine Praxis | ausdrückliche Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar | wie oben |
| Nur wenn du den freiwilligen Haken „Ich möchte, dass mich die Pia-App bei meinem Antrag weiter unterstützt“ setzt (Praxis-Nachfrage): deine Einwilligung mit Zeitpunkt und Textfassung sowie der Stand deiner Anfrage, den uns deine Praxis sagt (z. B. ob und wann sie den Nachweis verschickt hat) | Die Endo Health GmbH (Anbieterin der Pia-App, Verantwortliche) unterstützt dich weiter bei deinem Antrag: Sie darf bei deiner Praxis nachfragen, wie weit deine Anfrage ist, und deine Praxis darf ihr das sagen. So können wir dir weiterhelfen, falls es dort länger dauert. Weitere Auskünfte über dich erhalten wir dabei nicht. Der Haken ist freiwillig und keine Voraussetzung für das Anschreiben; ohne ihn geht dein Anschreiben genauso raus | ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO, jederzeit mit Wirkung für die Zukunft widerrufbar: Eine kurze Mail an support@pia.app genügt (oder an datenschutz@endometriose.app) | wie oben |
Sitzungs-Cookie vr_sess |
Angemeldet bleiben, bis deine Pia-App freigeschaltet ist | technisch erforderlich, § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO | 180 Tage |
Einwilligungs-Cookie vr_consent |
deine Cookie-Auswahl speichern. Das Fenster zur Cookie-Auswahl erscheint mit deinem ersten Tipp und bietet „Alle akzeptieren“ (Statistik und Marketing) oder unter „Einstellungen anpassen“ die Auswahl je Kategorie: Statistik und Marketing sind dort voreingestellt, du kannst jede Kategorie ausschalten und mit „Auswahl speichern“ bestätigen. Bis du gespeichert hast, gilt nur das Notwendige. Ändern jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite | § 25 Abs. 2 Nr. 2 TDDDG | 180 Tage |
Herkunft deines Besuchs (Kampagnen-Parameter wie utm_campaign/utm_content, Klick-Kennungen wie fbclid/gclid), nur mit Einwilligung „Marketing“ |
Auswerten, welche Anzeige zu Anfragen führt, und Werbung danach steuern. Bis zur E-Mail-Bestätigung nur in deinem Browser und am Nutzungsverlauf (siehe unten), danach mit deinem Datensatz gespeichert | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG, jederzeit widerrufbar über „Cookie-Einstellungen“ | wie oben (gelöscht mit deinem Datensatz) |
Meta-Pixel (eigener Pixel für app-pia.de) und Conversions API (inkl. Klick-Kennung fbclid, Meta-Cookies _fbp/_fbc, gehashter E-Mail-Adresse), nur auf app-pia.de |
Messung und Optimierung unserer Werbung | nur mit Einwilligung „Marketing“, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG | siehe Anbieter; unser Protokoll 13 Monate |
| Zuteilung zum freiwilligen Haken „Praxis-Nachfrage“ (ob er dir angezeigt wird) | Ein Zufallsverfahren entscheidet, ob dir der freiwillige Haken angezeigt wird. Die Zuteilung speichern wir mit deinem Datensatz, um den Ablauf zu verbessern | berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO | wie oben (gelöscht mit deinem Datensatz) |
| Nutzungsverlauf im Fragebogen ab dem ersten Bildschirm: welcher Schritt angezeigt, beantwortet, verlassen wurde, Verweildauer je Schritt, grobe Geräteklasse (Handy/Computer, Bildschirmbreite in Klassen), Testvariante; keine Antwortinhalte, keine IP-Adresse | Sehen, wo der Fragebogen schwierig ist, und ihn verbessern | ohne Einwilligung nur anonyme Tageszähler je Schritt ohne Kennung und ohne Speicherung auf deinem Gerät (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO); mit Einwilligung „Statistik“ zusätzlich je Besuch mit zufälliger Sitzungs-ID (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Nach deiner E-Mail-Bestätigung wird diese Sitzungs-ID mit deinen Antworten verknüpft | 12 Monate |
Werbe-Dienste: Mit deiner Einwilligung „Marketing“ (auch über „Alle akzeptieren“) speichern wir die Herkunft deines Besuchs (siehe Tabelle). Nur dann laden wir auf app-pia.de den Meta-Pixel und melden Meta über die Conversions API neutrale Schritte (z. B. „E-Mail bestätigt“), jeweils mit gehashter E-Mail-Adresse und Klick-Kennung. Google-Tags laden wir auf dieser Seite derzeit nicht. Was nie an Werbepartner geht: deine Antworten (auch dein eigener Text zu „Sonstiges“), Beschwerden, Stärken, deine Praxis, dein Anschreiben.
Microsoft Clarity (Nutzungsanalyse): Mit deiner Einwilligung „Statistik“ (auch über „Alle akzeptieren“) nutzen wir Microsoft Clarity, einen Dienst der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Zweck: Wir sehen in zusammengefassten Heatmaps und in einzelnen Sitzungswiedergaben, wie die Seite benutzt wird (Seitenwechsel, Tippen, Scrollen), damit wir erkennen, an welcher Stelle der Fragebogen oder das Anschreiben nicht gut funktioniert. Alle Texte und Eingaben sind maskiert: Clarity erhält keine Antworten zu Beschwerden, keine E-Mail-Adresse, keinen Namen, keine Anschrift und keine Unterschrift im Klartext. Wir verknüpfen die Aufzeichnung nicht mit deiner E-Mail-Adresse oder deinem Datensatz und nutzen Clarity nicht für Werbung. Clarity setzt dafür Cookies (_clck bis zu 1 Jahr, _clsk 1 Tag) und verarbeitet technische Angaben zu Gerät und Browser sowie deine IP-Adresse. Speicherdauer laut Microsoft: Sitzungsaufzeichnungen 30 Tage, zusammengefasste Auswertungen (Heatmaps, Dashboard) bis zu 13 Monate. Microsoft kann Daten auch in den USA verarbeiten; Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite widerrufen. Mehr: https://privacy.microsoft.com/de-de/privacystatement
4. Empfänger und Auftragsverarbeiter
- Amazon Web Services EMEA SARL, Rechenzentrum Frankfurt (eu-central-1): Datenbank, Ablage der Anschreiben (verschlüsselt) und Versand der E-Mails (Amazon SES, ohne Öffnungs- und Klickverfolgung).
- Vercel Inc.: Hosting der Seite und der Server-Funktionen (Region Frankfurt). Datenübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
- Deine gewählte Arztpraxis: erhält das Anschreiben per Post, nur nach deinem ausdrücklichen Auftrag und deiner Unterschrift. Hast du den Haken zur Praxis-Nachfrage gesetzt, steht das im Anschreiben, und die Praxis darf uns sagen, wie weit deine Anfrage ist (diese Angabe erhalten wir dann von deiner Praxis, nicht von dir).
- E-Mail-Brief (emailbrief.de, Druck und Postversand des Anschreibens) im Auftrag von Endo Health; der Brief unterliegt dem Briefgeheimnis.
- Cloudflare, Inc. (Turnstile): Schutz vor automatisierten Anfragen beim Anfordern des Codes und beim Absenden des Anschreibens. Dabei verarbeitet Cloudflare technische Merkmale deines Browsers und deine IP-Adresse, um echte Nutzerinnen von Bots zu unterscheiden; Turnstile setzt keine Werbe-Cookies. Rechtsgrundlage: berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework.
- Nur mit Einwilligung Marketing: Meta Platforms Ireland Ltd. (mit möglicher Übermittlung in die USA).
- Praxissuche: Die Suche nach deiner Praxis läuft über unser eigenes Verzeichnis von Arztpraxen (Endo Health, Datenquelle Arztdata). Dabei werden nur deine Suchbegriffe und eine gekürzte, gehashte IP-Adresse verarbeitet. Damit wir die Suche verbessern können, speichern wir außerdem, was du ins Suchfeld eingibst (höchstens 80 Zeichen; E-Mail-Adressen und lange Zahlenfolgen ersetzen wir), wie viele Praxen gefunden wurden und ob du danach eine Praxis ausgewählt, selbst eingetragen oder die Suche verlassen hast. Bitte gib dort nur Angaben zu deiner Praxis ein. Wir speichern das ohne E-Mail-Adresse und ohne IP-Adresse, mit deiner Einwilligung „Statistik“ zusammen mit der zufälligen Sitzungs-ID deines Nutzungsverlaufs (siehe Tabelle). Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Praxissuche (Art. 6 Abs. 1 lit. f DSGVO). Diese Angaben gehen nicht an Werbepartner und werden nach 30 Tagen gelöscht.
- App-Store-Bewertung: Die angezeigte Bewertung der Pia-App rufen wir serverseitig bei Apple ab; dabei werden keine Daten von dir übermittelt.
5. Deine Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf einer Einwilligung mit Wirkung für die Zukunft (über „?“ → „Meine Daten löschen“ oder per E-Mail an datenschutz@endometriose.app) sowie Beschwerde bei einer Aufsichtsbehörde (z. B. Sächsische Datenschutz- und Transparenzbeauftragte).
6. Sicherheit
Verschlüsselte Übertragung (TLS), Verschlüsselung der Datenbank und der Dateien (AWS KMS), Zugriff der Server-Funktionen nur über eine eng begrenzte Rolle ohne dauerhafte Zugangsschlüssel und mit eigenem Datenbank-Benutzer je App, keine Gesundheitsangaben in Protokollen, Bestätigungscodes werden nur als Prüfwert gespeichert und verfallen nach 30 Minuten.