Datenschutzerklärung

Stand: 14. Oktober 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten die App Crasora und die Website crasora.app verarbeiten, wozu das geschieht und auf welcher Rechtsgrundlage.

Kurz gesagt

• Ohne Konto bleiben deine Angaben auf deinem Gerät.
• Deine Gewohnheiten, Erledigungen, XP und Serien bleiben auch mit Konto auf deinem Gerät.
• Auf unseren Servern liegen nur dein Konto, dein Profil, dein Premium-Status und Tageszähler.
• Nachrichten an Aura gehen zur Beantwortung an Anthropic. Wir speichern sie nicht auf unseren Servern.
• Werbung siehst du nur, wenn du sie selbst startest, und nur nicht personalisiert.
• Wir setzen keine Analyse-Dienste ein und verkaufen keine Daten.

1. Verantwortlicher

2. Daten auf deinem Gerät

Die App speichert auf deinem Gerät: deinen Namen, deinen Beweggrund und deine Herausforderung aus dem Einstieg, deine Gewohnheiten und Erledigungen, XP, Level, Serien und Erfolge, deine Erinnerungszeiten und Einstellungen sowie deinen Verlauf mit Aura. Wir haben darauf keinen Zugriff.

Löschst du die App, sind diese Daten weg. Meldest du dich ab, bleiben die Daten deines Kontos auf dem Gerät und kommen zurück, wenn du dich wieder anmeldest. Löschst du dein Konto, entfernt die App sie auch vom Gerät.

Erinnerungen plant die App direkt auf deinem Gerät über das Betriebssystem, und nur, wenn du sie erlaubst. Es gibt keinen Push-Dienst; keine Push-Kennung wird an uns übertragen.

3. Konto

Ein Konto ist freiwillig; die App funktioniert auch ohne. Wenn du ein Konto anlegst, verarbeiten wir:

• deine E-Mail-Adresse und dein Passwort (das Passwort nur als Hash),
• dein Profil aus dem Einstieg – Name, Beweggrund und Herausforderung –, damit es nach einer Neuinstallation oder auf einem neuen Gerät zurückkommt,
• den Premium-Status deines Kontos (Produkt, Status, Ablaufdatum),
• Tageszähler: wie viele Nachrichten du heute an Aura geschickt und wie viele Werbevideos du heute angesehen hast,
• technische Daten wie deine Konto-ID und Zeitpunkte sowie in Server-Protokollen die IP-Adresse, etwa bei der Anmeldung.

Zweck: Konto bereitstellen, Profil wiederherstellen, Tageskontingente einhalten, Missbrauch verhindern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für Sicherheitsprotokolle Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
Dienstleister: Supabase, Inc. (USA) als Auftragsverarbeiter. Die Datenbank liegt in der EU (Stockholm, Schweden).
Speicherdauer: bis du dein Konto löschst. Das geht in der App unter Einstellungen → „Account endgültig löschen“. Dabei werden dein Konto und alle zugehörigen Daten auf unseren Servern sofort gelöscht. Server-Protokolle löscht Supabase nach kurzer Zeit automatisch.

4. Konto-E-Mails

Bestätigungs-E-Mails und E-Mails zum Zurücksetzen des Passworts verschicken wir über Resend (USA) als Auftragsverarbeiter. Resend verarbeitet dafür deine E-Mail-Adresse, den Inhalt der E-Mail und Zustelldaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Aura, der KI-Coach

Antworten von Aura, die von der KI erzeugt werden, gibt es nur mit Konto. Wenn du Aura schreibst, sendet unsere Server-Funktion an Anthropic:

• deine Nachricht und die vorherigen Nachrichten des Gesprächs (höchstens 16),
• eine Zusammenfassung deines Fortschritts: Name, Beweggrund, Herausforderung, die Namen deiner Gewohnheiten, Erledigungen und Serien, XP und Level, Erfolge, den Stand deiner Challenges und die gewählte Sprache.

Anthropic erzeugt daraus die Antwort. Den Inhalt der Nachrichten speichern wir nicht auf unseren Servern; der Verlauf bleibt auf deinem Gerät. Unser Server zählt nur, wie viele Nachrichten du heute geschickt hast.

Anbieter: Anthropic PBC (USA) als Auftragsverarbeiter. Nach den Bedingungen von Anthropic für die API werden die Inhalte nicht zum Training von Modellen verwendet und nach begrenzter Zeit gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bitte schreib Aura keine Gesundheitsdaten oder andere besonders sensible Angaben. Aura ersetzt keine ärztliche oder therapeutische Hilfe.

Ohne Konto antwortet Aura mit vorbereiteten Tipps direkt auf dem Gerät. Dabei wird nichts übertragen.

6. Käufe und Premium

Premium kaufst du über den App Store von Apple. Apple verarbeitet die Zahlung als eigener Verantwortlicher; wir erhalten keine Zahlungsdaten.

Käufe und Abo-Status verwaltet RevenueCat, Inc. (USA) als Auftragsverarbeiter. RevenueCat wird beim Start der App eingerichtet und erhält: eine zufällige Kennung (ohne Konto) oder deine Konto-ID (mit Konto), Kaufinformationen von Apple (Produkt, Zeitpunkt, Status, Ablauf), Geräte- und App-Informationen (Betriebssystem, App-Version, Land oder Region, Sprache) und die IP-Adresse. Unser Server fragt bei RevenueCat nach, ob ein Abo aktiv ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; zur Abwehr von Betrug Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: Löschst du dein Konto, beantragen wir auch die Löschung deiner Daten bei RevenueCat. Ein laufendes Abo endet dadurch nicht – das kündigst du im App Store.

7. Werbung

In der kostenlosen Version kannst du mit Konto ein Werbevideo ansehen, um eine zusätzliche Nachricht an Aura freizuschalten. Dafür nutzen wir Google AdMob (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; verbunden mit Google LLC, USA).

Die App fordert ausschließlich nicht personalisierte Werbung an. Sobald die Werbe-Option angezeigt wird, lädt die App eine Anzeige vor. Dabei verarbeitet Google unter anderem die IP-Adresse, Geräte- und App-Informationen (etwa Modell, Betriebssystem, Sprache) und deine Interaktion mit der Anzeige, auch um die Häufigkeit zu begrenzen und Betrug abzuwehren. Für einen Teil dieser Verarbeitung ist Google selbst verantwortlich. Mehr dazu: Datenschutzerklärung von Google und Datennutzung durch Google in Apps von Partnern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil du das Video startest, um die zusätzliche Nachricht zu erhalten. Wie viele Videos du heute angesehen hast, zählt unser Server (Abschnitt 3). Mit Premium gibt es keine Werbung.

8. Bewertung im App Store

Die App kann dich über den Dialog von Apple um eine Bewertung bitten. Deine Bewertung verarbeitet Apple; wir sehen nur, was im App Store öffentlich erscheint.

9. Diese Website

crasora.app wird von Netlify, Inc. (USA) als Auftragsverarbeiter bereitgestellt. Beim Aufruf verarbeitet Netlify in Server-Protokollen deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, die zuvor besuchte Seite sowie Browser und Betriebssystem, um die Seite auszuliefern und vor Angriffen zu schützen. Die Website setzt keine Cookies, nutzt keine Analyse-Dienste und lädt keine Schriften oder Skripte von anderen Anbietern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren Auslieferung).

10. Übermittlung in Drittländer

Supabase, Anthropic, RevenueCat, Resend, Netlify und Google LLC haben ihren Sitz in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und sonst auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Staat, in dem du wohnst oder arbeitest oder in dem der mutmaßliche Verstoß stattfand (Art. 77 DSGVO).

Für alle Anliegen: support@crasora.app.

12. Pflicht zur Angabe, automatisierte Entscheidungen

Du bist nicht verpflichtet, uns Daten zu geben. Für ein Konto brauchen wir deine E-Mail-Adresse und ein Passwort; ohne Konto kannst du die App weiter nutzen, nur ohne die Funktionen, die ein Konto voraussetzen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO finden nicht statt.

13. Kinder

Crasora richtet sich nicht an Kinder unter 16 Jahren.

14. Änderungen

Wenn sich die App oder die Rechtslage ändert, passen wir diese Erklärung an. Es gilt die Fassung auf dieser Seite mit dem oben genannten Stand.

Privacy Policy

Last updated: 14 October 2026

This policy explains which personal data the Crasora app and the website crasora.app process, for what purpose, and on what legal basis.

In short

• Without an account, your information stays on your device.
• Your habits, completions, XP and streaks stay on your device even with an account.
• Our servers hold only your account, your profile, your Premium status and daily counters.
• Messages to Aura are sent to Anthropic to generate a reply. We do not store them on our servers.
• You only see ads when you start one yourself, and they are never personalized.
• We use no analytics services and do not sell data.

1. Controller

2. Data on your device

The app stores on your device: your name, your reason and your challenge from onboarding, your habits and completions, XP, level, streaks and achievements, your reminder times and settings, and your conversation with Aura. We have no access to this data.

If you delete the app, this data is gone. If you sign out, your account's data stays on the device and comes back when you sign in again. If you delete your account, the app also removes it from the device.

Reminders are scheduled directly on your device by the operating system, and only if you allow them. There is no push service; no push token is sent to us.

3. Account

An account is optional; the app works without one. If you create an account, we process:

• your email address and password (the password only as a hash),
• your profile from onboarding – name, reason and challenge – so it comes back after a reinstall or on a new device,
• your account's Premium status (product, status, expiry date),
• daily counters: how many messages you sent to Aura today and how many ad videos you watched today,
• technical data such as your account ID and timestamps, and in server logs the IP address, for example when you sign in.

Purpose: providing the account, restoring your profile, enforcing daily limits, preventing abuse.
Legal basis: Art. 6(1)(b) GDPR (contract); for security logs Art. 6(1)(f) GDPR (legitimate interest in secure operation).
Service provider: Supabase, Inc. (USA) as processor. The database is located in the EU (Stockholm, Sweden).
Retention: until you delete your account. You can do this in the app under Settings → “Delete account permanently”. Your account and all related data on our servers are deleted immediately. Supabase deletes server logs automatically after a short time.

4. Account emails

We send confirmation emails and password reset emails through Resend (USA) as processor. Resend processes your email address, the content of the email and delivery data.
Legal basis: Art. 6(1)(b) GDPR.

5. Aura, the AI coach

AI-generated replies from Aura require an account. When you write to Aura, our server function sends to Anthropic:

• your message and the previous messages of the conversation (at most 16),
• a summary of your progress: name, reason, challenge, the names of your habits, completions and streaks, XP and level, achievements, the state of your challenges and your chosen language.

Anthropic generates the reply from this. We do not store the content of messages on our servers; the conversation stays on your device. Our server only counts how many messages you sent today.

Provider: Anthropic PBC (USA) as processor. Under Anthropic's API terms, the content is not used to train models and is deleted after a limited period.
Legal basis: Art. 6(1)(b) GDPR.

Please do not share health data or other particularly sensitive information with Aura. Aura is no substitute for medical or therapeutic help.

Without an account, Aura replies with prepared tips directly on the device. Nothing is transmitted.

6. Purchases and Premium

You buy Premium through Apple's App Store. Apple processes the payment as an independent controller; we receive no payment data.

Purchases and subscription status are managed by RevenueCat, Inc. (USA) as processor. RevenueCat is set up when the app starts and receives: a random identifier (without an account) or your account ID (with an account), purchase information from Apple (product, time, status, expiry), device and app information (operating system, app version, country or region, language) and the IP address. Our server asks RevenueCat whether a subscription is active.

Legal basis: Art. 6(1)(b) GDPR; for fraud prevention Art. 6(1)(f) GDPR.
Retention: When you delete your account, we also request deletion of your data at RevenueCat. This does not end a running subscription – you cancel it in the App Store.

7. Ads

In the free version, with an account, you can watch an ad video to unlock an extra message to Aura. For this we use Google AdMob (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland; affiliated with Google LLC, USA).

The app requests non-personalized ads only. As soon as the ad option is shown, the app preloads an ad. Google processes, among other things, the IP address, device and app information (such as model, operating system, language) and your interaction with the ad, also to limit frequency and prevent fraud. Google is itself responsible for part of this processing. More: Google Privacy Policy and How Google uses information from partner apps.

Legal basis: Art. 6(1)(b) GDPR, because you start the video to receive the extra message. Our server counts how many videos you watched today (section 3). Premium has no ads.

8. App Store ratings

The app may ask you for a rating through Apple's dialog. Apple processes your rating; we only see what appears publicly in the App Store.

9. This website

crasora.app is provided by Netlify, Inc. (USA) as processor. When you visit, Netlify processes your IP address, date and time, the requested page, the referring page, and browser and operating system in server logs, to deliver the site and protect it against attacks. The website sets no cookies, uses no analytics services and loads no fonts or scripts from other providers.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in secure delivery).

10. Transfers to third countries

Supabase, Anthropic, RevenueCat, Resend, Netlify and Google LLC are based in the USA. Transfers rely on the European Commission's adequacy decision for the EU-US Data Privacy Framework (Art. 45 GDPR) where the provider is certified under it, and otherwise on the Commission's standard contractual clauses (Art. 46(2)(c) GDPR).

11. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18) and data portability (Art. 20). You can withdraw consent at any time with effect for the future (Art. 7(3)).

Right to object: Where we process data on the basis of Art. 6(1)(f) GDPR, you can object at any time on grounds relating to your particular situation (Art. 21 GDPR).

You can lodge a complaint with a data protection supervisory authority, in particular in the EU member state where you live or work or where the alleged infringement took place (Art. 77 GDPR).

For any request: support@crasora.app.

12. Obligation to provide data, automated decisions

You are not obliged to give us any data. For an account we need your email address and a password; without an account you can keep using the app, just without the features that require one. There is no automated decision-making within the meaning of Art. 22 GDPR.

13. Children

Crasora is not intended for children under 16.

14. Changes

When the app or the law changes, we update this policy. The version on this page with the date above applies.

The German version is authoritative.