Kurz gesagt: Deine Trainingsdaten (Sitzungen, BOLT, Tagebuch, Fortschritt) bleiben lokal auf deinem Gerät. Zum Schutz unserer Inhalte vor unbefugtem Download erstellt die App beim ersten Laden von Inhalten ein zunächst anonymes Konto, das du optional mit E-Mail, Apple, Google oder Facebook erweitern und jederzeit in der App löschen kannst. Inhalte werden über kurzlebige, signierte Links eines Content-Netzwerks (CDN) ausgeliefert - dabei wird technisch deine IP-Adresse übertragen. Zertifizierte Präventionskurse kannst du im Web über Stripe kaufen; Kauf und Abschluss werden zu deinem Konto gespeichert. Eine anonyme Nutzungsstatistik zur Produktverbesserung ist standardmäßig aktiv (berechtigtes Interesse) und jederzeit in den App-Einstellungen abschaltbar - ohne Gesundheitswerte und ohne Bildschirmaufzeichnung. Zur Stabilität ist eine technische Absturzdiagnose standardmäßig aktiv (berechtigtes Interesse) und jederzeit in den App-Einstellungen abschaltbar. Werbe-Tracking (Meta-Pixel) auf 8breath.de läuft ausschließlich mit deiner Einwilligung in der Cookie-Kategorie „Marketing" - siehe Abschnitt 4. Für Anzeigen auf Facebook und Instagram nutzen die Apps zusätzlich den Messdienstleister Adjust zur Werbe-Zuordnung - auch das ausschließlich nach deiner Einwilligung, standardmäßig aus - siehe Abschnitt 3e.
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Zusammenhang mit der App 8Breath im Sinne der DSGVO ist:
Andreas Jansen Taborstr. 5 10997 Berlin Deutschland
2. Grundsatz: lokal zuerst, anonymes Konto für geschützte Inhalte
8Breath ist datensparsam ausgelegt. Deine Trainingsdaten - Atem-Sitzungen, BOLT-Werte, Tagebuch, Kurs- und Sequenz-Fortschritt, Favoriten und Einstellungen - werden ausschließlich lokal auf deinem Gerät gespeichert und nicht an uns übertragen. Du kannst sie jederzeit in den App-Einstellungen löschen.
Für den Zugriff auf geschützte Inhalte (geführte Audios, Musik, Bilder) benötigt die App ein Konto. Dieses wird beim ersten Laden von Inhalten automatisch und zunächst anonym erstellt - du musst dich also nicht aktiv registrieren. Optional kannst du das Konto durch Anmeldung mit E-Mail, Apple, Google oder Facebook erweitern, etwa um deine Inhalte und gekauften Kurse geräteübergreifend zu nutzen. Das Konto inkl. der zugehörigen Daten lässt sich jederzeit in der App löschen (Einstellungen → „Konto löschen"). Näheres dazu unter Abschnitt 3.
3. Welche Daten verarbeitet die App?
a) Laden von Inhalten über ein Content-Netzwerk (CDN)
Geführte Audios, Musik und Bilder werden bei Bedarf von einem CDN (Bunny.net) nachgeladen. Zum Schutz vor unbefugtem Download werden Inhalte ausschließlich über kurzlebige, signierte URLs ausgeliefert; dafür ist eine gültige (anonyme) Sitzung erforderlich (siehe Abschnitt „Nutzerkonto & Anmeldung"). Beim Abruf wird - technisch unvermeidbar - deine IP-Adresse sowie technische Verbindungsdaten (Zeitpunkt, angeforderte Datei) an das CDN übermittelt. Zweck: Auslieferung der Inhalte sowie Stabilität und Missbrauchsschutz. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
b) Nutzerkonto & Anmeldung
Beim ersten Laden von Inhalten erstellt die App ein zunächst anonymes Konto (über Supabase Auth). Verarbeitet werden dabei eine zufällige Konto-ID, ein Authentifizierungs-Token, deine IP-Adresse und ein Zeitstempel. Optional kannst du das Konto durch Anmeldung mit E-Mail, Apple (Sign in with Apple), Google oder Facebook erweitern; dann verarbeiten wir zusätzlich deine E-Mail-Adresse bzw. die von Apple, Google oder Facebook bereitgestellte Kennung. Die Anmeldung funktioniert mit demselben Konto in der App und im Web (unter „Konto" auf 8breath.de). Zweck: gesicherte Auslieferung der Inhalte (kurzlebige, signierte URLs), Schutz vor Missbrauch und automatisiertem Auslesen (Scraping) sowie - bei angemeldetem Konto - die optionale geräteübergreifende Nutzung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Das Konto inkl. der zugehörigen Daten kannst du jederzeit in der App löschen („Konto löschen").
c) App- und Geräte-Integritätsprüfung (App Check / App Attest / Play Integrity)
Um sicherzustellen, dass Anfragen von einer echten, unveränderten 8Breath-App stammen (und nicht von manipulierten Clients oder Bots), führen wir eine technische Integritätsprüfung durch. Dabei kommen Apple App Attest bzw. Google Play Integrity zum Einsatz, vermittelt über Firebase App Check (Google). Verarbeitet wird ein Attestierungs-Token. Zweck: Schutz unserer Inhalte und Server vor Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch).
Zur Produktverbesserung erfassen wir anonyme Nutzungsereignisse: eine zufällig erzeugte Geräte-Kennung sowie Ereignisse wie welcher Inhalt gestartet wurde und wie lange, welche Bereiche geöffnet und welche Suchbegriffe eingegeben werden. Verarbeitet wird bei Supabase sowie über PostHog (EU-Hosting, eu.i.posthog.com). Es werden keine Trainings-, Tagebuch- oder Gesundheitswerte (BOLT, Puls, HRV) übertragen, es findet keine Bildschirmaufzeichnung statt und die Daten werden nicht an Dritte oder Werbenetzwerke weitergegeben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer App). Du kannst der Verarbeitung jederzeit in den App-Einstellungen unter „Anonyme Nutzungsstatistik" widersprechen; die Geräte-Kennung wird dabei gelöscht.
e) Werbe-Zuordnung für Anzeigen (Paid Ads, nur mit deiner Einwilligung)
Wir schalten Anzeigen auf Facebook und Instagram. Stimmst du in der App unter Einstellungen → Rechtliches → Datenschutz der „Werbe-Zuordnung" zu, merken wir uns, über welche Anzeige du zu 8Breath gekommen bist, und ob daraus ein Kauf wurde. Diese Funktion ist standardmäßig aus und läuft ausschließlich nach deiner aktiven Zustimmung.
Verarbeitet werden dabei: eine Klick-Kennung, eine eigens dafür erzeugte Zufallszahl, die Einwilligung selbst sowie die Information, ob ein Kauf zustande kam. Auf iOS wird zusätzlich die Werbekennung deines Geräts (IDFA) verwendet - aber nur, wenn du danach auch der separaten Systemabfrage „Tracking erlauben" (App-Tracking-Transparenz) zustimmst; lehnst du sie ab, läuft die Zuordnung ohne IDFA über SKAdNetwork weiter. Auf Android wird die Werbe-ID (GAID) verwendet. Atem-, Tagebuch-, Gesundheits- oder sonstige Nutzungsdaten werden dabei nicht übertragen.
Empfänger sind unser Messdienstleister Adjust GmbH, Berlin (Auftragsverarbeiter, Vertrag nach Art. 28 DSGVO liegt vor), sowie Meta Platforms Ireland Ltd. für die Rückmeldung, ob eine Anzeige zu einem Kauf geführt hat.
Derselbe Mechanismus beginnt teilweise schon auf der Website: Klickst du auf einen Anzeigen-Link zu 8breath.de, vergeben wir dabei serverseitig eine pseudonyme, zunächst für sich genommen nicht personenbezogene Klick-Kennung (ohne IP-Adresse, ohne vollständigen Browser-Kennstring) - Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schlanken, datensparsamen technischen Zuordnung). Erst wenn du anschließend ein Konto anlegst UND der Werbe-Zuordnung zustimmst, verknüpfen wir diese Klick-Kennung mit deinem Konto (Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Ohne diese Zustimmung bleibt die Klick-Kennung unverknüpft und wird nach spätestens 90 Tagen gelöscht.
Widerruf: jederzeit in der App unter Einstellungen → Rechtliches → Datenschutz → „Werbe-Zuordnung". Damit werden Klick-Kennung und Zufallszahl auf deinem Gerät gelöscht und die Messung stoppt.
f) Absturz- und Fehlerdiagnose
Zur Stabilität der App erfassen wir technische Absturz-/Fehlerberichte über Firebase Crashlytics (Google). Die Absturz- und Fehlerdiagnose ist standardmäßig aktiv und lässt sich jederzeit in den App-Einstellungen abschalten (Opt-out). Verarbeitet werden ausschließlich technische Diagnosedaten wie Fehler-Stack, Gerätemodell, Betriebssystem- und App-Version sowie eine technische Installationskennung - keine Trainings-, Tagebuch- oder Gesundheitsdaten. Empfänger ist Google/Firebase; dabei kann es zu einer Übermittlung in Drittländer (z. B. USA) kommen (siehe Abschnitt zu Empfängern und Drittlandtransfer). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen, fehlerfreien App). Davon getrennt ist die anonyme Nutzungsstatistik, die ebenfalls auf berechtigtem Interesse beruht und der du jederzeit widersprechen kannst (siehe Buchstabe d).
g) Apple Health / Health Connect (optional)
Nur wenn du es aktiv freigibst, kann 8Breath Herzfrequenz lesen bzw. Achtsamkeitsminuten schreiben. Diese Gesundheitsdaten verbleiben im geschützten, vom Betriebssystem verwalteten Speicher deines Geräts; wir haben keinen Zugriff darauf. Widerruf jederzeit in den Systemeinstellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO.
h) Kamera (optionale Puls-Messung)
Für die optionale Puls-/HRV-Messung über die Fingerkuppe greift die App auf die Kamera zu. Die Auswertung erfolgt ausschließlich in Echtzeit auf deinem Gerät; es werden keine Bilder oder Videos gespeichert oder übertragen. Du kannst 8Breath auch vollständig ohne Kamera nutzen.
i) In-App-Käufe (8Breath Plus)
Das Abonnement „8Breath Plus" wird über den Apple App Store bzw. Google Play abgewickelt. Die Zahlungsabwicklung erfolgt durch Apple bzw. Google; wir erhalten keine Zahlungsdaten, sondern nur die Information, ob ein gültiges Abo besteht.
j) Kauf von Präventionskursen (Stripe)
Zertifizierte Präventionskurse (Kassenkurse, § 20 SGB V) kannst du im Web über deinen Konto-Bereich erwerben. Die Zahlungsabwicklung erfolgt über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd.). Dabei verarbeitet Stripe als eigenständig Verantwortlicher die für die Zahlung erforderlichen Daten - je nach Zahlungsart u. a. Name, E-Mail-Adresse, Zahlungsmittel- bzw. Bankdaten, Betrag und IP-Adresse. Wir selbst erhalten keine vollständigen Zahlungsdaten (z. B. keine Kartennummer), sondern nur die Bestätigung, ob die Zahlung erfolgreich war, und ordnen den gekauften Kurs deinem Konto zu. Zweck: Abwicklung deines Kaufs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Es gilt zusätzlich die Datenschutzerklärung von Stripe.
k) Kurs-Freischaltung und -Abschluss (Konto-Daten)
Damit deine gekauften und absolvierten Präventionskurse geräteübergreifend verfügbar sind und du eine Teilnahmebescheinigung für deine Krankenkasse herunterladen kannst, speichern wir bei Supabase serverseitig zu deinem Konto, welche Kurse freigeschaltet (Kauf) und welche abgeschlossen wurden (technisch: Konto-ID, Kurs-Kennung, Kauf-/Abschluss-Zeitpunkt). Inhalte deiner Übungen oder Gesundheitsdaten werden dabei nicht gespeichert. Zweck: Bereitstellung gekaufter Kurse und Erstellung der Teilnahmebescheinigung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Diese Daten werden mit deinem Konto gelöscht.
Beim Aufruf unserer Website 8breath.de verarbeitet unser Hoster Hostinger in Server-Logfiles technisch erforderliche Daten (u. a. IP-Adresse, Datum und Uhrzeit, abgerufene Seite, übertragene Datenmenge, Browser- und Betriebssystemtyp) zur Auslieferung, Stabilität und Sicherheit der Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Nutzt du eines unserer Kontakt-, Bewerbungs- oder Feedback-Formulare (z. B. auf der Kontakt- oder Atemcoach-Seite), verarbeiten wir die von dir angegebenen Daten - je nach Formular Name, E-Mail-Adresse, ggf. Telefonnummer, Adresse sowie deine Nachricht -, um deine Anfrage zu bearbeiten. Die Inhalte werden per E-Mail an support@8breath.de übermittelt und nicht an Dritte weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung deiner Anfrage) bzw. lit. f DSGVO. Wir speichern diese Daten, bis deine Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Die Website setzt keine Tracking- oder Marketing-Cookies ein.
Auf unserer Roadmap-Seite (8breath.de/roadmap) kannst du ohne Anmeldung für Funktionswünsche abstimmen und eigene Vorschläge einreichen. Damit eine Stimme nur einmal zählt, speichern wir je Abstimmung eine zufällige, in deinem Browser (localStorage) erzeugte Kennung sowie eine ausschließlich gehashte Prüfsumme deiner IP-Adresse - die IP selbst wird nicht im Klartext gespeichert. Reichst du einen Vorschlag ein, verarbeiten wir deinen Vorschlagstext und - falls du sie angibst - deine E-Mail-Adresse (optional, nur für Rückfragen); der Vorschlag wird bei Supabase gespeichert und uns per E-Mail zugestellt. Zweck: Abstimmung, Schutz vor Mehrfach- und Missbrauchsstimmen sowie Weiterentwicklung der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse); bei Angabe deiner E-Mail zusätzlich lit. a/b.
4. Werbe-Tracking (nur mit deiner Einwilligung)
Auf 8breath.de setzen wir den Meta-Pixel und die Conversions API von Meta Platforms Ireland Ltd. ein, um zu messen, ob unsere Anzeigen auf Facebook und Instagram funktionieren. Das geschieht ausschließlich dann, wenn du im Cookie-Banner der Kategorie „Marketing" zustimmst. Ohne diese Zustimmung wird kein Skript geladen und es werden keine Daten an Meta übertragen.
Verarbeitet werden dabei: eine von uns vergebene Klick-Kennung, von Meta gesetzte Kennungen (_fbp, fbclid), die aufgerufene Seite sowie Ereignisse wie „Registrierung abgeschlossen" oder „Kauf" samt Betrag. Eine E-Mail-Adresse wird, sofern vorhanden, ausschließlich kryptografisch gehasht (SHA-256) übertragen, damit Meta einen Abgleich vornehmen kann, ohne die Adresse im Klartext zu erhalten. Atem-, Gesundheits- und Trainingsdaten werden nicht übertragen.
Ein Teil dieser Ereignisse wird zusätzlich serverseitig über die Conversions API gemeldet, etwa wenn eine Zahlung erst Tage später bestätigt wird. Auch das erfolgt nur bei erteilter Einwilligung.
Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie § 25 Abs. 1 TDDDG für das Speichern und Auslesen von Informationen auf deinem Endgerät. Du kannst sie jederzeit über die Cookie-Einstellungen widerrufen. Für die Erhebung und Übermittlung der Daten sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO; die weitere Verarbeitung verantwortet Meta allein.
Diese App-seitige Erklärung bezieht sich ausschließlich auf die Website 8breath.de. Für die mobilen Apps gilt sie nicht in gleichem Umfang - siehe dazu die separaten Hinweise in den App-Einstellungen.
5. Rechtsgrundlagen
Bereitstellung der App, Konto/Anmeldung, CDN-Auslieferung sowie Kauf und Freischaltung von Präventionskursen (Stripe, Kurs-Daten): Art. 6 Abs. 1 lit. b/f. Health, Kamera: Art. 6 Abs. 1 lit. a (Einwilligung). Anonyme Statistik, Absturzdiagnose sowie App-/Geraete-Integritaetspruefung: Art. 6 Abs. 1 lit. f (berechtigtes Interesse). Werbe-Tracking auf der Website (Meta-Pixel, Conversions API) sowie die Kontoverknüpfung bei der Werbe-Zuordnung in den Apps (Adjust): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Die anfängliche, noch nicht kontoverknüpfte Klick-Kennung auf der Website: Art. 6 Abs. 1 lit. f (berechtigtes Interesse an schlanker, datensparsamer technischer Zuordnung).
6. Empfänger / Auftragsverarbeiter
Bunny.net (CDN), Supabase (Authentifizierung/Konten, Kurs-Freischaltungen/-Abschlüsse, anonyme Statistik, Geschenk-Codes), Stripe (Zahlungsabwicklung Web-Käufe von Präventionskursen), Google (Firebase App Check, Play Integrity, Google-Login, Firebase Crashlytics, Google Play), Apple (Sign in with Apple, App Attest, App Store), Meta Platforms Ireland Ltd. (Facebook-Login, sofern du ihn nutzt; Meta-Pixel und Conversions API auf der Website 8breath.de nur bei erteilter Marketing-Einwilligung, siehe Abschnitt 4; sowie Konversionsmeldung im Rahmen der Werbe-Zuordnung in den Apps, siehe Abschnitt 3e), Adjust GmbH, Berlin (Messdienstleister für die Werbe-Zuordnung in den Apps, nur bei erteilter Einwilligung, siehe Abschnitt 3e). Soweit Daten in Drittländer (z. B. USA) übermittelt werden, stützen wir dies auf die EU-Standardvertragsklauseln bzw. einen Angemessenheitsbeschluss.
7. Speicherdauer
Lokale Daten: bis zur Löschung durch dich. Kontodaten (inkl. E-Mail bzw. Apple-/Google-/Facebook-Kennung) sowie Kurs-Freischaltungen und -Abschlüsse: bis zur Löschung des Kontos in der App. Zahlungsbezogene Daten: bei Stripe gemäß deren Vorgaben und gesetzlichen (insb. handels- und steuerrechtlichen) Aufbewahrungsfristen. Anonyme Statistik: bis zum Widerruf, längstens 14 Monate. Absturzberichte: gemäß Dienst (i. d. R. 90 Tage). Attestierungs-Token werden nur kurzzeitig zur Prüfung verarbeitet. Werbe-Tracking-Daten (Meta-Pixel/Conversions API): bis zum Widerruf deiner Einwilligung; bei Meta selbst gemäß deren eigener Datenrichtlinie, unsere serverseitigen Ereignisprotokolle löschen wir spätestens nach 90 Tagen.
Kontolöschung konkret: Stellst du in der App unter „Konto löschen" einen Löschantrag, wird dein Konto sofort gelöscht - dabei werden dein Profil, deine Kurs-Freischaltungen und -Abschlüsse sowie deine Zertifikats-PDFs im selben Vorgang entfernt. Wir löschen Konten nicht automatisch wegen Inaktivität; ein ungenutztes Konto bleibt bestehen, bis du es selbst löschst. Es gibt kein Wiederherstellungsfenster nach der Löschung - das Konto ist ab dem Löschantrag unwiderruflich weg.
Klick- und Zuordnungsdaten (Werbe-Zuordnung, Abschnitt 3e): Die technische Klick-Kennung selbst wird spätestens 90 Tage nach dem Anzeigenklick gelöscht - unabhängig davon, ob sie später an ein Konto gebunden wurde. Die Bindung zu deinem Konto (welche Anzeige, ob ein Kauf zustande kam) bleibt so lange bestehen wie dein Konto selbst und wird mit der Kontolöschung mitgelöscht.
8. Deine Rechte
Du hast die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf erteilter Einwilligungen (Art. 7 Abs. 3). Soweit ein Konto besteht, lassen sich Anfragen über die Konto-ID zuordnen; bei rein lokal gespeicherten Daten ohne Personenbezug ist eine Zuordnung ggf. nur eingeschränkt möglich. Dein Konto kannst du inklusive der zugehörigen Daten jederzeit selbst in der App löschen („Konto löschen", Art. 17). Es besteht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.
9. Berechtigungen widerrufen
Erteilte Berechtigungen (Kamera, optional Health) kannst du jederzeit in den Systemeinstellungen deines Geräts unter „8Breath" ändern oder widerrufen. Die anonyme Statistik schaltest du in den App-Einstellungen aus.
10. Kinder
8Breath richtet sich an ein allgemeines Publikum und ist nicht gezielt für Kinder bestimmt.
11. Änderungen dieser Datenschutzerklärung
Wir aktualisieren diese Erklärung, wenn sich die App oder die Rechtslage ändern. Es gilt die auf dieser Seite veröffentlichte Fassung.
8Breath ist ein Produkt zur Entspannung, Achtsamkeit und allgemeinen Wohlbefinden und kein Medizinprodukt. Die Inhalte dienen ausschließlich Informations- und Wohlfühlzwecken und sind nicht zur Diagnose, Behandlung, Heilung oder Vorbeugung von Krankheiten bestimmt. Sie ersetzen keine ärztliche Beratung.
Die Nutzung erfolgt auf eigene Verantwortung. Intensive Atemtechniken - insbesondere mit Luftanhalten (z. B. Wim-Hof-/Buteyko-Uebungen) - dürfen nicht im oder am Wasser, beim Autofahren oder Bedienen von Maschinen durchgeführt werden und sind bei Schwangerschaft, Herz-Kreislauf-Erkrankungen, Epilepsie oder anderen gesundheitlichen Einschränkungen vorab ärztlich abzuklären. Bei Unwohlsein brich die Übung sofort ab.
In short: Your training data (sessions, BOLT, journal, progress) stays locally on your device. To protect our content from unauthorized downloading, the app creates an initially anonymous account the first time content is loaded; you can optionally upgrade it with email, Apple, Google or Facebook and delete it at any time in the app. Content is delivered via short-lived, signed links from a content delivery network (CDN), which technically transmits your IP address. Certified prevention courses can be purchased on the web via Stripe; purchase and completion are stored against your account. Anonymous usage statistics for product improvement are active by default (legitimate interest) and can be switched off at any time in the app settings - without health values and without screen recording. For stability, technical crash diagnostics are active by default (legitimate interest) and can be switched off at any time in the app settings. Advertising tracking (Meta Pixel) on 8breath.de runs only with your consent in the "Marketing" cookie category - see section 4. For ads on Facebook and Instagram, the apps additionally use the measurement provider Adjust for advertising attribution - also only with your consent, off by default - see section 3e.
1. Controller
The controller for data processing in connection with the 8Breath app under the GDPR is:
2. Principle: local first, anonymous account for protected content
8Breath is data-minimal. Your training data - breathing sessions, BOLT values, journal, course and sequence progress, favorites and settings - is stored only on your device and not transmitted to us. You can delete it at any time in the app settings.
To access protected content (guided audio, music, images), the app requires an account. This account is created automatically and initially anonymously the first time content is loaded - so you don't need to actively register. Optionally, you can upgrade the account by signing in with email, Apple, Google or Facebook, for example to use your content and purchased courses across devices. You can delete the account, including its associated data, at any time in the app (Settings → "Delete account"). See Section 3 for details.
3. What data does the app process?
a) Loading content via a CDN
Guided audio, music and images are loaded on demand from a CDN (Bunny.net). To protect against unauthorized downloading, content is delivered exclusively via short-lived, signed URLs, which require a valid (anonymous) session (see "User account & sign-in" below). When content is retrieved, this transmits - technically unavoidable - your IP address and technical connection data to the CDN. Purpose: content delivery, stability and abuse protection. Legal basis: Art. 6(1)(b) and (f) GDPR.
b) User account & sign-in
The first time content is loaded, the app creates an initially anonymous account (via Supabase Auth). This processes a random account ID, an authentication token, your IP address and a timestamp. Optionally, you can upgrade the account by signing in with email, Apple (Sign in with Apple), Google or Facebook; in that case we additionally process your email address or the identifier provided by Apple, Google or Facebook. The same account works in the app and on the web (under "Account" on 8breath.de). Purpose: secured content delivery (short-lived, signed URLs), protection against abuse and automated retrieval (scraping), and - for a signed-in account - optional cross-device use. Legal basis: Art. 6(1)(b) and (f) GDPR. You can delete the account, including its associated data, at any time in the app ("Delete account").
c) App and device integrity check (App Check / App Attest / Play Integrity)
To ensure that requests come from a genuine, unmodified 8Breath app (and not from tampered clients or bots), we perform a technical integrity check using Apple App Attest or Google Play Integrity, mediated via Firebase App Check (Google). An attestation token is processed. Purpose: protecting our content and servers from abuse. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in abuse protection).
d) Anonymous usage statistics (objection possible at any time)
For product improvement we collect anonymous usage events: a randomly generated device identifier and events such as which content was started and for how long, which areas were opened and which search terms were entered. Processed at Supabase and via PostHog (EU hosting, eu.i.posthog.com). No training, journal or health values (BOLT, pulse, HRV) are transmitted, there is no screen recording, and the data is not shared with third parties or advertising networks.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in improving our app). You can object to this processing at any time in the app settings under "Anonymous usage statistics"; the device identifier is then deleted.
e) Advertising attribution for ads (paid ads, only with your consent)
We run ads on Facebook and Instagram. If you consent in the app under Settings → Legal → Privacy to "Advertising attribution", we record which ad brought you to 8Breath and whether it led to a purchase. This feature is off by default and runs only after your active consent.
We process: a click identifier, a randomly generated number created specifically for this purpose, the consent itself, and whether a purchase occurred. On iOS, your device's advertising identifier (IDFA) is additionally used - but only if you also consent to the separate system prompt "Allow Tracking" (App Tracking Transparency) afterwards; if you decline it, attribution continues without IDFA via SKAdNetwork. On Android, the advertising ID (GAID) is used. No breathing, journal, health or other usage data is transmitted.
Recipients are our measurement provider Adjust GmbH, Berlin (processor, Art. 28 GDPR agreement in place), and Meta Platforms Ireland Ltd. for reporting whether an ad led to a purchase.
The same mechanism partly starts already on the website: when you click an ad link to 8breath.de, we assign a pseudonymous click identifier server-side that is not, by itself, personal data (no IP address, no full browser fingerprint) - legal basis for this is Art. 6(1)(f) GDPR (legitimate interest in a lean, data-minimal technical attribution). Only once you then create an account AND consent to advertising attribution do we link this click identifier to your account (legal basis: your consent, Art. 6(1)(a) GDPR). Without this consent, the click identifier stays unlinked and is deleted after 90 days at the latest.
Withdrawal: anytime in the app under Settings → Legal → Privacy → "Advertising attribution". This deletes the click identifier and random number on your device and stops measurement.
f) Crash and error diagnostics
For app stability we collect technical crash/error reports via Firebase Crashlytics (Google). Crash and error diagnostics are active by default and can be switched off at any time in the app settings (opt-out). We process only technical diagnostics such as error stack, device model, OS and app version, and a technical install identifier - no training, journal or health data. The recipient is Google/Firebase; this may involve a transfer to third countries (e.g. the USA) (see the section on recipients and third-country transfers). Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a stable, error-free app). Separate from this is the anonymous usage statistic, which only takes place with your consent and is off by default (see letter d).
g) Apple Health / Health Connect (optional)
Only if you actively allow it, 8Breath can read heart rate or write mindful minutes. This health data stays in the OS-managed storage on your device; we have no access. Revoke anytime in your system settings. Legal basis: Art. 6(1)(a), Art. 9(2)(a) GDPR.
h) Camera (optional pulse reading)
For the optional pulse/HRV reading from your fingertip, the app accesses the camera. Processing happens exclusively in real time on your device; no images or videos are stored or transmitted. You can use 8Breath entirely without the camera.
i) In-app purchases (8Breath Plus)
The „8Breath Plus" subscription is handled via the Apple App Store or Google Play. Payment is processed by Apple/Google; we receive no payment data, only whether a valid subscription exists.
j) Purchase of prevention courses (Stripe)
Certified prevention courses (statutory health-insurance courses, § 20 SGB V) can be purchased on the web via your account area. Payment is processed by the payment provider Stripe (Stripe Payments Europe, Ltd.). As an independent controller, Stripe processes the data required for the payment - depending on the payment method, e.g. name, email address, payment-method or bank details, amount and IP address. We ourselves receive no full payment data (e.g. no card number), only confirmation of whether the payment succeeded, and we link the purchased course to your account. Purpose: handling your purchase. Legal basis: Art. 6(1)(b) GDPR (performance of a contract). Stripe's own privacy policy applies in addition.
k) Course unlocking and completion (account data)
So that your purchased and completed prevention courses are available across devices and you can download a certificate of participation for your health insurer, we store - against your account at Supabase - which courses are unlocked (purchase) and which have been completed (technically: account ID, course identifier, purchase/completion timestamp). The contents of your exercises or any health data are not stored. Purpose: providing purchased courses and generating the certificate of participation. Legal basis: Art. 6(1)(b) GDPR. This data is deleted together with your account.
l) Website 8breath.de (hosting & contact forms)
When you visit our website 8breath.de, our host Hostinger processes technically required data in server log files (e.g. IP address, date and time, page requested, data volume, browser and OS type) for delivery, stability and security. Legal basis: Art. 6(1)(f) GDPR.
If you use one of our contact, application or feedback forms (e.g. on the contact or breathing-coach page), we process the data you provide - depending on the form: name, email address, optionally phone number, address and your message - to handle your request. The contents are sent by email to support@8breath.de and are not shared with third parties. Legal basis: Art. 6(1)(b) GDPR (handling your request) or (f) GDPR. We store this data until your request has been fully handled and no statutory retention periods apply. The website uses no tracking or marketing cookies.
On our roadmap page (8breath.de/roadmap) you can vote for feature requests and submit your own ideas without signing in. To make sure each vote counts only once, we store per vote a random identifier generated in your browser (localStorage) and a hashed checksum of your IP address only - the IP itself is not stored in clear text. If you submit a suggestion, we process your suggestion text and - if you provide it - your email address (optional, only for follow-up questions); the suggestion is stored at Supabase and sent to us by email. Purpose: voting, protection against duplicate and abusive votes, and improving the app. Legal basis: Art. 6(1)(f) GDPR (legitimate interest); if you provide your email, additionally (a)/(b).
4. Advertising tracking (only with your consent)
On 8breath.de we use the Meta Pixel and Conversions API from Meta Platforms Ireland Ltd. to measure whether our ads on Facebook and Instagram work. This happens only if you consent to the "Marketing" category in the cookie banner. Without this consent, no script is loaded and no data is sent to Meta.
We process: a click identifier we assign ourselves, identifiers set by Meta (_fbp, fbclid), the page visited, and events such as "registration completed" or "purchase" including the amount. If available, an email address is transmitted only as a cryptographic hash (SHA-256), so Meta can match it without receiving the address in clear text. Breathing, health and training data are not transmitted.
Some of these events are additionally reported server-side via the Conversions API, for example when a payment is only confirmed days later. This, too, happens only with your consent.
The legal basis is your consent (Art. 6(1)(a) GDPR) as well as § 25(1) TDDDG for storing and reading information on your device. You can withdraw it anytime via the cookie settings. For the collection and transmission of this data, we and Meta are joint controllers under Art. 26 GDPR; Meta alone is responsible for any further processing.
This section applies to the website 8breath.de only. It does not apply to the same extent for the mobile apps - see the separate notices in the app settings.
5. Legal bases
App provision, account/sign-in, CDN delivery, and purchase and unlocking of prevention courses (Stripe, course data): Art. 6(1)(b)/(f). Health, camera: Art. 6(1)(a) (consent). Anonymous statistics, crash diagnostics and app/device integrity check: Art. 6(1)(f) (legitimate interest). Advertising tracking on the website (Meta Pixel, Conversions API) and the account-linking step for advertising attribution in the apps (Adjust): Art. 6(1)(a) GDPR (consent) in conjunction with § 25(1) TDDDG. The initial, not-yet-account-linked click identifier on the website: Art. 6(1)(f) (legitimate interest in lean, data-minimal technical attribution).
6. Recipients / processors
Bunny.net (CDN), Supabase (authentication/accounts, course unlocks/completions, anonymous statistics, gift codes), Stripe (payment processing for web purchases of prevention courses), Google (Firebase App Check, Play Integrity, Google sign-in, Firebase Crashlytics, Google Play), Apple (Sign in with Apple, App Attest, App Store), Meta Platforms Ireland Ltd. (Facebook login, if you use it; Meta Pixel/Conversions API on the website 8breath.de only with marketing consent, see section 4; and conversion reporting as part of advertising attribution in the apps, see section 3e), Adjust GmbH, Berlin (measurement provider for advertising attribution in the apps, only with consent, see section 3e). Where data is transferred to third countries (e.g. the USA), we rely on the EU Standard Contractual Clauses or an adequacy decision.
7. Storage period
Local data: until you delete it. Account data (including email or Apple/Google/Facebook identifier) and course unlocks/completions: until you delete the account in the app. Payment-related data: at Stripe per their requirements and statutory (in particular commercial and tax) retention periods. Anonymous statistics: until withdrawal, max 14 months. Crash reports: per the service (usually 90 days). Attestation tokens are processed only briefly for verification. Advertising tracking data (Meta Pixel/Conversions API): until you withdraw consent; at Meta itself per their own data policy, our own server-side event logs are deleted after 90 days at the latest.
Account deletion in detail: if you request deletion via "Delete account" in the app, your account is deleted immediately - your profile, course unlocks/completions and certificate PDFs are removed in the same operation. We do not delete accounts automatically due to inactivity; an unused account remains until you delete it yourself. There is no recovery window after deletion - the account is irrevocably gone from the moment you request deletion.
Click and attribution data (advertising attribution, section 3e): the technical click identifier itself is deleted 90 days after the ad click at the latest - regardless of whether it was later linked to an account. The link to your account (which ad, whether a purchase occurred) persists for as long as your account exists and is deleted together with your account.
8. Your rights
You have the rights to access (Art. 15), rectification (16), erasure (17), restriction (18), portability (20), objection (21) and to withdraw consent (Art. 7(3)). Where an account exists, requests can be attributed via the account ID; for purely locally stored data without personal reference, attribution may be limited. You can delete your account, including its associated data, yourself at any time in the app ("Delete account", Art. 17). You also have the right to lodge a complaint with a supervisory authority.
9. Revoking permissions
You can change or revoke granted permissions (camera, optionally Health) anytime in your device's system settings under "8Breath". Turn off anonymous statistics in the app settings.
10. Children
8Breath targets a general audience and is not specifically intended for children.
11. Changes to this privacy policy
We update this policy when the app or legal framework changes. The version published on this page applies.
8Breath is a product for relaxation, mindfulness and general well-being and is not a medical device. The content is for information and well-being purposes only and is not intended to diagnose, treat, cure or prevent any disease. It does not replace medical advice.
Use is at your own risk. Intensive breathing techniques - especially with breath holds (e.g. Wim Hof / Buteyko) - must not be performed in or near water, while driving or operating machinery, and should be cleared with a physician beforehand in case of pregnancy, cardiovascular disease, epilepsy or other health conditions. Stop immediately if you feel unwell.
Wir verwenden notwendige Cookies. Statistik & Marketing sind optional
und einzeln wählbar.
Ausführliche Einstellungen
