Symkura is committed to protecting your data. This policy explains what we process, on which legal basis, for how long, and what your rights are.

1. Controller

Benjamin Straatmann, MakeByte, Thamaschstraße 2, 86687 Kaisheim, Germany. Email: privacy@symkura.app

2. Core principle

Symkura is privacy-first. Your health data is stored on your device and, if you use an account, synced to our own server in Germany. We never use your health data for advertising or profiling and never pass it to third parties.

3. What we process and why

Health data (special category, Art. 9 GDPR): symptom entries, pain intensity, body regions, triggers, mood, sleep, medications, notes, photos, the conditions you choose, the doctors you add (name, specialty, phone, address and the conditions they treat), optionally cycle and weight. Purpose: your personal symptom diary and the patient report for doctor visits. Legal basis: your explicit consent (Art. 9(2)(a) GDPR), given during setup and revocable at any time by deleting your account.

Account data: email address and password (stored only as a hash); optionally first and last name, date of birth and gender for the patient report. Purpose: sign-in, cross-device sync, password reset, the patient report. Legal basis: performance of contract (Art. 6(1)(b) GDPR).

Doctor appointments (optional): if you import appointments, Symkura reads the device calendars you select, read-only and with your permission. Title, time and location of the selected appointments are stored as part of your account data so the app can remind you and show your next appointment. Calendar data is never shared with third parties; Symkura never changes your calendar. Legal basis: performance of contract (Art. 6(1)(b) GDPR).

Weather data (optional): if you set a location, the app asks Symkura's own weather service for temperature, humidity and pressure; for the place search it sends the search term you type. The weather service runs on Cloudflare (Cloudflare Inc., USA, certified under the EU-US Data Privacy Framework) and receives the coordinates of the chosen place or the search term, plus your IP address for technical reasons. The service uses the IP address only to fend off excessive requests; it does not write coordinates, search terms or IP addresses to logs. It obtains the weather values from MET Norway (Norwegian Meteorological Institute, Norway), which receives only coordinates rounded to about 1 km, never your IP address. Place searches are answered from the service's own place directory (GeoNames data) and are not passed on to any other service. No account or health data is transmitted. Legal basis: Art. 6(1)(b) GDPR.

Purchase data: Symkura Pro purchases are processed by Apple or Google. To verify entitlements we use RevenueCat (RevenueCat Inc., USA), which receives a pseudonymous user ID and the purchase status, no health and no payment data. Transfers to the USA are covered by EU Standard Contractual Clauses (Art. 46(2)(c) GDPR).

Usage statistics (optional, opt-in): with your consent we store technical events (e.g. "entry created", "export created", selected theme). These events are linked to your account, i.e. pseudonymous, not anonymous. They never contain symptoms, values, notes or photos. Legal basis: consent (Art. 6(1)(a) GDPR), revocable in settings at any time. Retention: 12 months.

Community data (optional, opt-in): with your consent we transmit, at most once a day, aggregated statistics per condition (average intensity, most frequent triggers and body regions, averages for air pressure, sleep and mood). The transmission uses a random device token; the values are stored without your name and without your account ID, and the token only serves to update your contribution instead of duplicating it. As the values are derived from your entries, they are health data under a pseudonym, not anonymous. Only the app's built-in condition names are transmitted, never your own text and never individual entries. Insights are shown only from 10 contributions per condition upwards. If you switch the contribution off, we delete your values. Legal basis: your explicit consent (Art. 9(2)(a) GDPR), revocable in settings at any time.

Feedback (optional): messages sent through the feedback form are relayed to us by a Cloudflare Worker (Cloudflare Inc., USA, certified under the EU-US Data Privacy Framework) and delivered by email. We store the text without any link to your account, together with the app version, platform and language, in our database on our server in Germany; the email goes to our mailbox at mailbox.org (see section 4, Contact). Please do not include health details you do not wish to share. Legal basis: Art. 6(1)(f) GDPR (improving the app).

Email delivery: password-reset and confirmation emails are sent through Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Germany, a company of the Brevo group based in Paris, France) as our processor; Brevo receives your email address and the content of the email for this purpose. Brevo adds a tracking pixel to these emails that cannot be switched off: if you open such an email and your email app loads images, Brevo receives your IP address and the time. If your email app does not load images automatically, this does not happen.

App updates: on launch the app asks Expo (650 Industries, Inc., USA) for bug fixes and downloads them when available. For this, your IP address (technically required), operating system, app version and a random installation ID are sent, never account or health data. Purpose: delivering fixes quickly without a new store download. If the app failed to start after an update, the next request also carries the text of that error once and the identifiers of the failed updates; Expo deletes the raw logs holding the error text after three days. Legal basis: legitimate interest (Art. 6(1)(f) GDPR). Transfers to the USA are based on Expo’s certification under the EU-US Data Privacy Framework (Art. 45 GDPR) and on the standard contractual clauses (module two) in Expo’s terms.

Technical data: when your device contacts our server, IP address, timestamp and request type are processed briefly in logs to keep the service secure and prevent abuse (Art. 6(1)(f) GDPR).

4. This website

This section covers the website symkura.app. Fonts, images and videos are served from symkura.app itself; the website loads nothing from Google Fonts, YouTube or social networks. The services otherwise involved are described in the following paragraphs.

Hosting: the website is hosted on Cloudflare Pages, a service of Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. For every request, Cloudflare processes the data the request technically involves, in particular your IP address, the address requested, date and time, and your browser's identifier (user agent). Purpose: delivering the pages and protecting the website against attacks and abuse. Cloudflare acts as our processor for the content it delivers and for the logs it makes available to us; it processes the other data about the requests as an independent controller under its own privacy policy. Cloudflare does not state a fixed retention period for this data; according to its privacy policy, Cloudflare keeps data for as long as needed for the respective purpose and to comply with legal obligations. Cloudflare is certified under the EU-US Data Privacy Framework (Art. 45 GDPR). Cloudflare also hides the email addresses on our pages from programs that harvest addresses: for this it adds a small script, loaded by your browser from symkura.app, that makes the addresses readable for you again.

Error reports: Cloudflare also instructs your browser to report failed connections (Network Error Logging). If your browser supports this, it keeps the instruction for up to seven days and sends a report to Cloudflare only when a connection fails, for example with the address requested, the type of error and timing information; successful requests are not reported. From your IP address, Cloudflare derives only the network operator, country and metro area and, according to Cloudflare, does not store the IP address.

Security check: if Cloudflare considers a request suspicious, it may show a check in your browser. For this, a Cloudflare script evaluates characteristics of your browser; sometimes you also have to tick a box. In that case Cloudflare sets cookies: cf_clearance records that you passed the check so it does not appear again; the cookies cf_chl_rc_i, cf_chl_rc_ni and cf_chl_rc_m are used internally by Cloudflare to identify technical problems on visitors' devices. Legal basis for hosting, error reports and security checks: legitimate interest in a secure and reliable website (Art. 6(1)(f) GDPR).

Audience measurement: to see which pages are used, we use Umami. Umami runs on our own server in Germany (IONOS SE, Montabaur, see section 6) at analytics.makebyte.de. On every page view, a script from there sends the page address and title, the page you came from (referrer), your screen size and browser language to this server. From your browser's identifier and the screen size, the server derives browser, operating system and device type, and from your IP address the country, region and city; the location lookup uses a database on our server, without asking any third party. Umami does not store your IP address. It combines your IP address, your browser's identifier, our website's identifier and a value that changes every month into a session identifier that cannot be reversed: this lets visits within one calendar month be counted together; Umami does not link visits across the change of month or across other websites. Umami sets no cookies and stores nothing in your browser. The web server in front of Umami keeps no access log; only for technical errors does it write an entry with the IP address to an error log. Apart from IONOS as the operator of the data center, nobody receives this data. We delete the measurement data automatically 24 months after it is collected, and the data of a session 24 months after its last page view. Legal basis: our legitimate interest in improving the website based on how it is used (Art. 6(1)(f) GDPR). You may object to this at any time on grounds relating to your particular situation (Art. 21 GDPR). The easiest way is the button below this paragraph: it creates the entry umami.disabled in your browser's local storage, and as long as it is there, the Umami script sends nothing from this browser to our server.

Performance and audience measurement by Cloudflare: for requests that reach Cloudflare through a data center outside the EU, the EEA, Switzerland and the United Kingdom, Cloudflare adds a small script from static.cloudflareinsights.com to our pages (Cloudflare Web Analytics); requests through data centers in those countries are not measured. The script sends performance data from your browser to Cloudflare, such as load and paint timings, the page address and the page you came from. Cloudflare also uses this to count page views and visits. According to Cloudflare, it sets no cookies and stores nothing in your browser, and Cloudflare discards your IP address at the nearest data center instead of storing it. Legal basis: our legitimate interest in a fast, reliable website (Art. 6(1)(f) GDPR).

Storage in your browser: if you choose a language or light or dark mode on the website yourself, pause the film on the home page or turn off audience measurement, the website remembers this in your browser's local storage (entries symkura-lang, symkura-theme, symkura-film, umami.disabled). These entries stay on your device and are never sent to us; you can remove them by clearing the site data in your browser. Apart from these, the website stores nothing in your browser except the cookies of a security check and the instruction for error reports (both described above).

Contact: the form at symkura.app/contact does not send anything to us itself: it opens your email app with a prepared message that you send from there. Emails to our addresses at symkura.app are delivered to our mailbox at mailbox.org (Heinlein Hosting GmbH, Schwedter Straße 8/9A, 10119 Berlin, Germany), which processes them on our behalf. We use your message to reply to you. Please do not include health details you do not wish to share. Legal basis: Art. 6(1)(b) GDPR where your request concerns your account or a purchase, Art. 6(1)(c) GDPR for requests about your rights (section 8), otherwise our legitimate interest in answering inquiries (Art. 6(1)(f) GDPR). The feedback form in the app is covered in section 3.

Links to other websites, such as Google Play, take you to their providers; only there is data processed under their privacy policies.

5. What we do not do

No advertising, no cross-app or cross-site tracking, no sale of data, no automated decision-making, no analysis of your health data for our own purposes.

6. Storage location and security

Account and health data are stored on our own server in Germany (IONOS SE, Montabaur). We do not use US cloud services for this data. Transfers are TLS-encrypted; row-level security limits access to your own account. On your device you can additionally lock the app with a PIN or biometrics; the PIN is kept in the operating system's protected storage. App data is excluded from Google device backups. On iPhone your entries are excluded from iCloud and computer backups, but attached photos are not: if you back up your iPhone, they are part of that backup.

7. Retention

Health and account data are kept until you delete your account. Account deletion removes your account and your data, including photos, from our server; data on your device remains until you delete it in the app or remove the app. What remains on our server after that, and for how long, is listed at symkura.app/en/delete-account. Usage statistics: 12 months. Server logs: 14 days. Database backups (daily, encrypted, on our server): 15 days; if no new backup succeeds for a while, we keep the last successful one until a new one succeeds. Until then they may still contain data of a deleted account, though not the photo files themselves.

8. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and objection (Art. 21 GDPR), and the right to withdraw consent at any time. In the app you can view your data, export your entries as CSV and a report as PDF, and delete your account together with your data on our server without contacting us. For a complete copy of all your data, including photos, doctors, appointments and profile details, and for anything else: privacy@symkura.app.

You may lodge a complaint with a supervisory authority; the authority responsible for us is the Bavarian State Office for Data Protection Supervision (BayLDA), Promenade 18, 91522 Ansbach, Germany, www.lda.bayern.de.

9. Children

Symkura is not directed at persons under 16. We do not knowingly process data of children under 16.

10. Changes

We update this policy when the app or the legal situation changes and notify you of material changes in the app.

11. Contact

privacy@symkura.app
MakeByte, Thamaschstraße 2, 86687 Kaisheim, Germany

12. Information for people in the United States

This section adds what US state laws such as those of California, Connecticut, Nevada and Washington require. It applies wherever you live in the United States. It is effective as of November 12, 2026.

No sale, no targeted advertising, no profiling. We do not sell personal data, do not use or share it for targeted advertising and do not use it for profiling that leads to decisions with legal or similarly significant effects. Symkura shows no ads.

No training of language models. We do not collect, use or sell personal data to train large language models. Symkura has no AI features.

Do Not Track. Neither this website nor the app tracks you across other websites or apps, and we do not allow third parties to collect information about your online activities over time and across websites through our services. Because there is no such tracking, nothing changes whether or not your browser sends a “Do Not Track” or Global Privacy Control signal.

Your rights. You can ask us to confirm whether we process your personal data, to give you access to it and a copy in a portable format, to correct it and to delete it. You can also opt out of the sale of personal data, targeted advertising and profiling; we do none of these. Much of this works in the app (section 8); otherwise write to privacy@symkura.app. We may ask you to send the request from the email address of your account. We answer within 30 days; if a request needs more time, we may extend this once by up to 45 days and tell you why within the first 30 days. Requests are free of charge.

Appeals. If we decline your request, you can appeal by replying to our answer or by writing to privacy@symkura.app with the subject “Appeal”. Within 45 days we tell you in writing what we did or did not do, and why. If we deny your appeal, you can complain to the attorney general of your state, for example in Connecticut at portal.ct.gov/ag/common/complaint-form-landing-page (subject “Consumer Data Privacy”) or in Washington at atg.wa.gov/file-complaint. For consumer health data, our Consumer Health Data Privacy Policy applies as well.

Symkura ist dem Schutz deiner Daten verpflichtet. Diese Erklärung beschreibt, welche Daten wir verarbeiten, auf welcher Grundlage, wie lange, und welche Rechte du hast.

1. Verantwortlicher

Benjamin Straatmann, MakeByte, Thamaschstraße 2, 86687 Kaisheim, Deutschland. E-Mail: privacy@symkura.app

2. Grundprinzip

Symkura folgt einem Privacy-First-Ansatz. Deine Gesundheitsdaten werden auf deinem Gerät gespeichert und, wenn du ein Konto nutzt, auf unseren eigenen Server in Deutschland synchronisiert. Wir nutzen deine Gesundheitsdaten nicht für Werbung, nicht für Profiling und geben sie nicht an Dritte weiter.

3. Welche Daten wir verarbeiten und warum

Gesundheitsdaten (besondere Kategorie, Art. 9 DSGVO): Symptomeinträge, Schmerzintensität, Körperregionen, Auslöser, Stimmung, Schlaf, Medikamente, Notizen, Fotos, die gewählten Erkrankungen, die eingetragenen Ärztinnen und Ärzte (Name, Fachgebiet, Telefon, Adresse und die behandelten Erkrankungen), optional Zyklus- und Gewichtsangaben. Zweck: dein persönliches Beschwerdetagebuch und das Patientenprotokoll für Arztgespräche. Rechtsgrundlage: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du bei der Einrichtung erteilst und jederzeit durch Löschen deines Kontos widerrufen kannst.

Kontodaten: E-Mail-Adresse und Passwort (nur als Hash gespeichert); optional Vor- und Nachname, Geburtsdatum und Geschlecht für das Patientenprotokoll. Zweck: Anmeldung, Geräte-Synchronisation, Passwort-Zurücksetzen, Patientenprotokoll. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Arzttermine (optional): Wenn du Termine importierst, liest Symkura mit deiner Erlaubnis die von dir gewählten Kalender deines Geräts, ausschließlich lesend. Gespeichert werden Titel, Zeitpunkt und Ort der ausgewählten Termine als Teil deiner Kontodaten, damit die App dich erinnern und den nächsten Termin anzeigen kann. Kalenderdaten werden nicht an Dritte übertragen; Symkura ändert nichts in deinem Kalender. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Wetterdaten (optional): Wenn du einen Ort einrichtest, fragt die App den eigenen Wetterdienst von Symkura nach Temperatur, Luftfeuchtigkeit und Luftdruck; für die Ortssuche schickt sie den eingegebenen Suchbegriff. Der Wetterdienst läuft bei Cloudflare (Cloudflare Inc., USA, zertifiziert nach dem EU-US Data Privacy Framework) und erhält die Koordinaten des gewählten Ortes bzw. den Suchbegriff sowie technisch bedingt deine IP-Adresse. Die IP-Adresse nutzt der Dienst nur, um zu viele Anfragen abzuwehren; Koordinaten, Suchbegriffe und IP-Adressen schreibt er nicht in Protokolle. Die Wetterwerte holt der Dienst bei MET Norway (Norwegisches Meteorologisches Institut, Norwegen); dorthin gehen nur auf etwa 1 km gerundete Koordinaten, nicht deine IP-Adresse. Die Ortssuche beantwortet der Dienst aus einem eigenen Ortsverzeichnis (Daten von GeoNames), Suchbegriffe gehen an keinen weiteren Dienst. Konto- oder Gesundheitsdaten werden nicht übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Kaufdaten: Bei einem Symkura-Pro-Kauf wickelt Apple bzw. Google die Zahlung ab. Zur Prüfung der Berechtigung nutzen wir RevenueCat (RevenueCat Inc., USA). RevenueCat erhält eine pseudonyme Nutzer-ID und den Kaufstatus, keine Gesundheits- und keine Zahlungsdaten. Die Übermittlung in die USA ist durch Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 Abs. 2 lit. c DSGVO).

Nutzungsstatistik (optional, Opt-in): Mit deiner Zustimmung speichern wir technische Ereignisse (z. B. „Eintrag erstellt“, „Export erstellt“, gewähltes Farbschema). Diese Ereignisse sind deinem Konto zugeordnet, also pseudonym, nicht anonym. Sie enthalten niemals Symptome, Werte, Notizen oder Fotos. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit in den Einstellungen widerrufbar. Speicherdauer: 12 Monate.

Community-Daten (optional, Opt-in): Mit deiner Zustimmung übermitteln wir höchstens einmal täglich aggregierte Statistiken je Erkrankung (durchschnittliche Intensität, häufigste Auslöser und Körperregionen, Durchschnittswerte zu Luftdruck, Schlaf und Stimmung). Die Übermittlung läuft unter einer zufälligen Geräte-Kennung, gespeichert ohne deinen Namen und ohne deine Konto-ID; die Kennung dient nur dazu, deinen Beitrag zu aktualisieren statt zu vervielfachen. Weil die Werte aus deinen Einträgen stammen, sind sie Gesundheitsdaten unter einem Pseudonym, nicht anonym. Übertragen werden nur die in der App vorgegebenen Erkrankungsbezeichnungen, keine eigenen Texte und keine Einzeleinträge. Auswertungen werden erst ab 10 Beiträgen je Erkrankung angezeigt. Schaltest du den Beitrag ab, löschen wir deine Werte. Rechtsgrundlage: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), jederzeit in den Einstellungen widerrufbar.

Feedback (optional): Wenn du das Feedback-Formular nutzt, wird dein Text über einen Cloudflare Worker (Cloudflare Inc., USA, zertifiziert nach dem EU-US Data Privacy Framework) an uns weitergeleitet und per E-Mail zugestellt. Den Text speichern wir ohne Bezug zu deinem Konto zusammen mit App-Version, Plattform und Sprache in unserer Datenbank auf unserem Server in Deutschland; die E-Mail geht an unser Postfach bei mailbox.org (siehe Abschnitt 4, Kontakt). Bitte schreibe keine Gesundheitsdetails hinein, die du nicht teilen möchtest. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung der App).

E-Mail-Versand: Passwort-Zurücksetzen und Bestätigungs-Mails versenden wir über Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, ein Unternehmen der Brevo-Gruppe mit Sitz in Paris, Frankreich) als Auftragsverarbeiter. Brevo erhält dafür deine E-Mail-Adresse und den Inhalt der E-Mail. Brevo fügt diesen Mails ein Zählpixel ein, das sich nicht abschalten lässt: Öffnest du eine solche Mail und lädt dein Mailprogramm Bilder, erhält Brevo deine IP-Adresse und den Zeitpunkt. Lädt dein Mailprogramm Bilder nicht automatisch, entfällt das.

App-Updates: Beim Start fragt die App bei Expo (650 Industries, Inc., USA) nach Fehlerbehebungen und lädt sie bei Bedarf herunter. Dabei werden technisch bedingt deine IP-Adresse sowie Betriebssystem, App-Version und eine zufällige Installationskennung übertragen, keine Konto- und keine Gesundheitsdaten. Zweck: Fehlerbehebungen schnell und ohne neuen Store-Download bereitstellen. Konnte die App nach einem Update nicht starten, sendet sie bei der nächsten Abfrage außerdem einmal den Text dieses Fehlers und die Kennungen der fehlgeschlagenen Updates; Expo löscht die Rohprotokolle mit dem Fehlertext nach drei Tagen. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Übermittlungen in die USA stützen sich auf die Zertifizierung von Expo nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) und auf die Standardvertragsklauseln (Modul 2) in den Bedingungen von Expo.

Technische Daten: Beim Zugriff auf unseren Server werden IP-Adresse, Zeitpunkt und Anfragetyp kurzzeitig in Protokollen verarbeitet, um den Betrieb zu sichern und Missbrauch abzuwehren (Art. 6 Abs. 1 lit. f DSGVO).

4. Diese Website

Dieser Abschnitt gilt für die Website symkura.app. Schriften, Bilder und Videos liefern wir von symkura.app selbst aus; Inhalte von Google Fonts, YouTube oder sozialen Netzwerken lädt die Website nicht. Welche Dienste sonst beteiligt sind, steht in den folgenden Absätzen.

Hosting: Die Website liegt bei Cloudflare Pages, einem Dienst der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Bei jedem Abruf verarbeitet Cloudflare die Daten, die dabei technisch anfallen, insbesondere deine IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit sowie die Kennung deines Browsers (User-Agent). Zweck: die Seiten ausliefern und die Website vor Angriffen und Missbrauch schützen. Für die ausgelieferten Inhalte und für die Protokolle, die Cloudflare uns dazu bereitstellt, handelt Cloudflare als unser Auftragsverarbeiter; die übrigen Daten über die Abrufe verarbeitet Cloudflare nach seiner Datenschutzerklärung als eigener Verantwortlicher. Eine feste Speicherfrist nennt Cloudflare dafür nicht; nach seiner Datenschutzerklärung speichert Cloudflare Daten so lange, wie es für den jeweiligen Zweck und zur Erfüllung gesetzlicher Pflichten nötig ist. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Außerdem verbirgt Cloudflare die E-Mail-Adressen auf unseren Seiten vor Programmen, die Adressen sammeln: Dafür fügt es ein kleines Skript ein, das dein Browser von symkura.app lädt und das die Adressen für dich wieder lesbar macht.

Fehlerberichte: Cloudflare weist deinen Browser außerdem an, fehlgeschlagene Verbindungen zu melden (Network Error Logging). Unterstützt dein Browser das, merkt er sich diese Anweisung bis zu sieben Tage und schickt nur bei einem Verbindungsfehler einen Bericht an Cloudflare, etwa mit der aufgerufenen Adresse, der Art des Fehlers und Zeitangaben; erfolgreiche Abrufe meldet er nicht. Cloudflare ermittelt aus deiner IP-Adresse dabei nur Netzbetreiber, Land und Großraum und speichert die IP-Adresse nach eigenen Angaben nicht.

Sicherheitsprüfung: Stuft Cloudflare einen Abruf als verdächtig ein, kann es eine Prüfung im Browser anzeigen. Dafür wertet ein Skript von Cloudflare Merkmale deines Browsers aus; manchmal musst du zusätzlich ein Kästchen anklicken. Dabei setzt Cloudflare Cookies: cf_clearance hält fest, dass du die Prüfung bestanden hast, damit sie nicht erneut erscheint; die Cookies cf_chl_rc_i, cf_chl_rc_ni und cf_chl_rc_m nutzt Cloudflare intern, um technische Probleme bei den Besuchern zu erkennen. Rechtsgrundlage für Hosting, Fehlerberichte und Sicherheitsprüfung: berechtigtes Interesse an einer sicheren und zuverlässigen Website (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung: Um zu sehen, welche Seiten genutzt werden, setzen wir Umami ein. Umami läuft auf unserem eigenen Server in Deutschland (IONOS SE, Montabaur, siehe Abschnitt 6) unter analytics.makebyte.de. Bei jedem Seitenaufruf sendet ein Skript von dort Adresse und Titel der Seite, die Seite, von der du kamst (Referrer), Bildschirmgröße und Browsersprache an diesen Server. Aus der Kennung deines Browsers und der Bildschirmgröße ermittelt der Server Browser, Betriebssystem und Gerätetyp, aus deiner IP-Adresse Land, Region und Stadt; die Ortsbestimmung geschieht mit einer Datenbank auf unserem Server, ohne Anfrage bei Dritten. Umami speichert deine IP-Adresse nicht. Es bildet aus ihr, der Kennung deines Browsers, der Kennung unserer Website und einem Wert, der jeden Monat wechselt, eine nicht umkehrbare Sitzungskennung: Besuche innerhalb eines Kalendermonats lassen sich so zusammenzählen; über den Monatswechsel oder über andere Websites hinweg verknüpft Umami Besuche nicht. Umami setzt keine Cookies und legt nichts in deinem Browser ab. Der Webserver vor Umami führt kein Zugriffsprotokoll; nur bei technischen Fehlern schreibt er einen Eintrag mit IP-Adresse in ein Fehlerprotokoll. Außer IONOS als Betreiber des Rechenzentrums erhält niemand diese Daten. Die Messdaten löschen wir automatisch 24 Monate nach ihrer Erfassung, die Daten einer Sitzung 24 Monate nach ihrem letzten Seitenaufruf. Rechtsgrundlage: berechtigtes Interesse, die Website anhand der Nutzung zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Am einfachsten geht das mit dem Knopf unter diesem Absatz: Er legt im lokalen Speicher deines Browsers den Eintrag umami.disabled an; solange er dort steht, sendet das Umami-Skript aus diesem Browser nichts an unseren Server.

Leistungs- und Reichweitenmessung durch Cloudflare: Für Abrufe, die Cloudflare über ein Rechenzentrum außerhalb der EU, des EWR, der Schweiz und des Vereinigten Königreichs erreichen, fügt Cloudflare unseren Seiten ein kleines Skript von static.cloudflareinsights.com hinzu (Cloudflare Web Analytics); Abrufe über Rechenzentren in diesen Ländern werden nicht gemessen. Das Skript sendet Leistungsdaten deines Browsers an Cloudflare, etwa Lade- und Anzeigezeiten, die Adresse der Seite und die Seite, von der du kamst. Daraus zählt Cloudflare auch Seitenaufrufe und Besuche. Nach Angaben von Cloudflare setzt es keine Cookies und speichert nichts in deinem Browser; Cloudflare verwirft deine IP-Adresse im nächstgelegenen Rechenzentrum, statt sie zu speichern. Rechtsgrundlage: berechtigtes Interesse an einer schnellen, zuverlässigen Website (Art. 6 Abs. 1 lit. f DSGVO).

Speicher im Browser: Wählst du auf der Website selbst Sprache oder Hell und Dunkel, hältst du den Film auf der Startseite an oder schaltest du die Reichweitenmessung ab, merkt sich die Website das im lokalen Speicher deines Browsers (Einträge symkura-lang, symkura-theme, symkura-film, umami.disabled). Diese Einträge bleiben auf deinem Gerät und werden nicht an uns übertragen; du entfernst sie, indem du die Websitedaten in deinem Browser löschst. Sonst speichert die Website nichts in deinem Browser, abgesehen von den Cookies einer Sicherheitsprüfung und der Anweisung für Fehlerberichte (beides oben).

Kontakt: Das Formular unter symkura.app/contact sendet selbst nichts an uns: Es öffnet dein E-Mail-Programm mit einer vorbereiteten Nachricht, die du dort selbst abschickst. E-Mails an unsere Adressen unter symkura.app gehen an unser Postfach bei mailbox.org (Heinlein Hosting GmbH, Schwedter Straße 8/9A, 10119 Berlin), das sie in unserem Auftrag verarbeitet. Wir nutzen deine Nachricht, um dir zu antworten. Bitte schreibe keine Gesundheitsdetails hinein, die du nicht teilen möchtest. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto oder einen Kauf geht, bei Anfragen zu deinen Rechten (Abschnitt 8) Art. 6 Abs. 1 lit. c DSGVO, sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Für das Feedback-Formular in der App gilt Abschnitt 3.

Links zu anderen Websites, etwa zu Google Play, führen dich zu deren Anbietern; erst dort werden Daten nach deren Datenschutzerklärungen verarbeitet.

5. Was wir nicht tun

Keine Werbung, kein Tracking über andere Apps oder Websites, kein Verkauf von Daten, keine automatisierte Entscheidungsfindung, keine Auswertung deiner Gesundheitsdaten zu eigenen Zwecken.

6. Speicherort und Sicherheit

Konto- und Gesundheitsdaten liegen auf unserem eigenen Server in Deutschland (IONOS SE, Montabaur). Wir nutzen keine US-Cloud für diese Daten. Die Übertragung ist TLS-verschlüsselt; der Zugriff ist über Row-Level-Security auf dein Konto beschränkt. Auf dem Gerät kannst du die App zusätzlich mit PIN oder Biometrie sperren; die PIN wird im geschützten Speicher des Betriebssystems abgelegt. Ein Gerätebackup deiner App-Daten über Google findet nicht statt. Auf dem iPhone sind deine Einträge von iCloud- und Computer-Backups ausgenommen, angehängte Fotos aber nicht: Sicherst du dein iPhone, sind sie in dieser Sicherung enthalten.

7. Speicherdauer

Gesundheits- und Kontodaten speichern wir, bis du dein Konto löschst. Mit der Kontolöschung entfernen wir dein Konto und deine Daten einschließlich Fotos von unserem Server; die lokalen Daten auf deinem Gerät bleiben, bis du sie in der App löschst oder die App entfernst. Was danach auf unserem Server noch bleibt und wie lange, steht unter symkura.app/konto-loeschen. Nutzungsstatistik: 12 Monate. Server-Protokolle: 14 Tage. Sicherungskopien der Datenbank (täglich, verschlüsselt, auf unserem Server): 15 Tage; gelingt eine Zeit lang keine neue Sicherung, behalten wir die letzte gelungene, bis wieder eine gelingt. So lange können sie noch Daten eines gelöschten Kontos enthalten, die Fotodateien selbst nicht.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine Einwilligung jederzeit zu widerrufen. In der App kannst du deine Daten selbst einsehen, deine Einträge als CSV und einen Bericht als PDF exportieren und dein Konto samt deinen Daten auf unserem Server löschen, ohne uns anschreiben zu müssen. Für eine vollständige Kopie aller Daten (auch Fotos, Ärzte, Termine und Profilangaben) und für alles andere: privacy@symkura.app.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zuständig für uns ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

9. Kinder

Symkura richtet sich nicht an Personen unter 16 Jahren. Wir verarbeiten wissentlich keine Daten von Kindern unter 16 Jahren.

10. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir dich in der App.

11. Kontakt

privacy@symkura.app
MakeByte, Thamaschstraße 2, 86687 Kaisheim, Deutschland

12. Hinweise für Menschen in den USA

Dieser Abschnitt ergänzt, was US-Bundesstaaten wie Kalifornien, Connecticut, Nevada und Washington verlangen. Er gilt überall in den USA und gilt ab dem 12. November 2026.

Kein Verkauf, keine personalisierte Werbung, kein Profiling. Wir verkaufen keine personenbezogenen Daten, nutzen oder teilen sie nicht für personalisierte Werbung und nutzen sie nicht für Profiling, das zu Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung führt. Symkura zeigt keine Werbung.

Kein Training von Sprachmodellen. Wir erheben, nutzen oder verkaufen keine personenbezogenen Daten, um große Sprachmodelle zu trainieren. Symkura hat keine KI-Funktionen.

Do Not Track. Weder diese Website noch die App verfolgt dich über andere Websites oder Apps hinweg, und wir lassen nicht zu, dass Dritte über unsere Dienste Informationen über deine Online-Aktivitäten über längere Zeit und verschiedene Websites hinweg sammeln. Weil es kein solches Tracking gibt, ändert sich nichts, ob dein Browser ein „Do Not Track“- oder Global-Privacy-Control-Signal sendet oder nicht.

Deine Rechte. Du kannst verlangen, dass wir bestätigen, ob wir personenbezogene Daten von dir verarbeiten, dass wir dir Zugang und eine Kopie in einem übertragbaren Format geben, sie berichtigen und sie löschen. Du kannst außerdem dem Verkauf personenbezogener Daten, personalisierter Werbung und Profiling widersprechen; nichts davon tun wir. Vieles geht direkt in der App (Abschnitt 8), sonst schreib an privacy@symkura.app. Wir können dich bitten, die Anfrage von der E-Mail-Adresse deines Kontos zu senden. Wir antworten innerhalb von 30 Tagen; braucht eine Anfrage mehr Zeit, können wir die Frist einmal um bis zu 45 Tage verlängern und sagen dir innerhalb der ersten 30 Tage, warum. Anfragen sind kostenlos.

Widerspruch gegen unsere Entscheidung. Lehnen wir deine Anfrage ab, kannst du Widerspruch einlegen, indem du auf unsere Antwort antwortest oder an privacy@symkura.app mit dem Betreff „Appeal“ schreibst. Innerhalb von 45 Tagen teilen wir dir schriftlich mit, was wir getan oder nicht getan haben und warum. Weisen wir den Widerspruch zurück, kannst du dich beim Attorney General deines Bundesstaats beschweren, zum Beispiel in Connecticut unter portal.ct.gov/ag/common/complaint-form-landing-page (Betreff „Consumer Data Privacy“) oder in Washington unter atg.wa.gov/file-complaint. Für Gesundheitsdaten gilt zusätzlich unsere Consumer Health Data Privacy Policy (auf Englisch).