🏢 1. Verantwortlicher

Verantwortlich für die Datenverarbeitung in der Anchorae-App und auf dieser Website ist:

E-Mail: [email protected]
Website: anchorae.app

Im Folgenden „wir“ oder „Anbieter“ genannt.

📋 2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Lebenshilfe- und Selbsthilfe-App sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung des Nutzers oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist.

⚖️ 3. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung des Betroffenen
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Bereitstellung der App-Funktionen)
• Art. 6 Abs. 1 lit. f DSGVO – Wahrung berechtigter Interessen (z.B. IT-Sicherheit)

🌐 4. Hosting der Website (IONOS)

🇩🇪 Hosting Deutschland

Die Website anchorae.app wird gehostet bei:

IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland

Beim Besuch unserer Website erfasst der Webserver automatisch:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Übertragene Datenmenge
• Meldung, ob der Abruf erfolgreich war
• Browser- und Betriebssystem-Kennung
• Referrer-URL

Diese Daten werden aus berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO) zur Sicherstellung eines störungsfreien Betriebs temporär in Server-Logfiles gespeichert und nach spätestens 7 Tagen gelöscht.

Auftragsverarbeitung: Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

4a. Content-Delivery-Network & Sicherheit (Cloudflare)

🌎 CDN & Schutz

Der Domain anchorae.app ist ein Content-Delivery-Network (CDN) und Reverse-Proxy vorgeschaltet, um Inhalte sicher und schnell auszuliefern, die TLS-Verschlüsselung bereitzustellen und die Website vor Angriffen (z. B. DDoS) zu schützen:

Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA

Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten (u. a. IP-Adresse, angefragte URL, Datum/Uhrzeit, Browser- und Betriebssystem-Kennung). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und performanten Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Auftragsverarbeitung & Drittland: Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Cloudflare, Inc. hat seinen Sitz in den USA; die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (SCCs) (Art. 46 Abs. 2 lit. c DSGVO) sowie des EU-U.S. Data Privacy Framework, unter dem Cloudflare zertifiziert ist.

🗄️ 5. Backend & Datenbank (Supabase)

🇮🇪 EU-Rechenzentrum (Irland) SOC 2 Type II

Für Authentifizierung, Datenhaltung und serverseitige Funktionen nutzt Anchorae:

Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992

Unser Supabase-Projekt wird in der AWS-Region eu-west-1 (Irland) gehostet. Alle personenbezogenen Daten verbleiben damit innerhalb der Europäischen Union.

5.1 Sicherheitsmaßnahmen

• Verschlüsselung in Transit (TLS 1.2+) und at Rest (AES-256)
• Row Level Security (RLS) – Nutzer können ausschließlich eigene Daten einsehen
• Passwörter werden als bcrypt-Hash gespeichert (nicht im Klartext)
• Regelmäßige Backups innerhalb der EU-Region
• SOC 2 Type II zertifiziert

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Auftragsverarbeitung: Die Datenverarbeitung durch Supabase erfolgt auf Grundlage eines Data Processing Agreements (DPA) gemäß Art. 28 DSGVO.

🔍 6. Welche Daten verarbeitet Anchorae?

6.1 Registrierung & Authentifizierung

• E-Mail-Adresse
• Passwort (verschlüsselt, bcrypt)
• Login-Zeitstempel und Session-Token
• Optional: Vorname / Anzeigename

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6.2 Inhalte der App

Anchorae speichert ausschließlich die Daten, die du selbst in der App einträgst:

• Vision & Lebensziele: Zielname, Beschreibung, Zieldatum
• Stimmungs-Tracking: Dein täglich gewähltes Mood-Emoji und Datum
• Streak & Wochenfortschritt: Datum deiner Check-ins
• Kraft-Themen / Affirmationen: Gewählte Themen, favorisierte Sprüche
• SMS-Reflexionen (Stage – Meaning – Strategy): Deine freien Texteinträge
• Heilungsweg / Tägliche Impulse: Gewählte Säulen und erledigte Tasks
• SOS-Verlauf & persönliche Notizen: Deine selbst verfassten Notizen zu SOS-Themen
• Chat-Verlauf mit „Anchorae“ (SOS): Deine Fragen und die KI-Antworten

Besondere Kategorien (Art. 9 DSGVO): Anchorae ist so konzipiert, dass du in Freitextfeldern (z.B. SMS-Reflexion, SOS-Notizen, Chat) möglicherweise sensible Inhalte (Gesundheit, Gefühle, persönliche Krisen) eingibst. Die Eingabe solcher Inhalte ist ausschließlich deine eigene Entscheidung. Rechtsgrundlage ist dann deine ausdrückliche Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO.

🤖 7. KI-gestützte Funktionen

Anchorae nutzt für einige Funktionen einen externen KI-Dienstleister (Large Language Model), insbesondere für:

• Tägliche Coaching-Impulse und Affirmationen
• Feedback von „Anchorae“ zu SMS-Reflexionen
• SOS-Chat („Sprich mit Anchorae“)
• Coaching-Hinweise zu gesetzten Zielen
• Heilungsweg-Begleitung

Bei der Nutzung dieser Funktionen werden die von dir eingegebenen Texte (deine Frage, dein Kontext, ggf. Ziel- oder Reflexionsinhalte) an den KI-Dienstleister übertragen, um eine Antwort zu generieren.

Der eingesetzte KI-Dienstleister verarbeitet die Daten ausschließlich zur Beantwortung deiner Anfrage. Eine Nutzung für Modell-Trainings wird vertraglich ausgeschlossen, soweit der Dienstleister dies anbietet. KI-generierte Antworten können falsch, unvollständig oder unpassend sein und ersetzen keine professionelle Beratung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie bei sensiblen Freitexteingaben zusätzlich Art. 9 Abs. 2 lit. a DSGVO (deine Einwilligung durch aktive Eingabe).

7a. Vorlesen / Sprachausgabe (Text-to-Speech)

Anchorae bietet optional an, Texte (z. B. Achtsamkeitsübungen oder KI-Antworten) mit einer natürlich klingenden Stimme vorzulesen. Diese Funktion ist standardmäßig deaktiviert und muss von dir in den Einstellungen ausdrücklich eingeschaltet werden.

Ist die Funktion aktiviert, wird der vorzulesende Text zur Erzeugung der Audioausgabe an den Sprachdienstleister ElevenLabs, Inc., 169 Madison Ave #2484, New York, NY 10016, USA übermittelt. Da dieser Text aus deinen Eingaben abgeleitet sein kann, können dabei auch sensible Inhalte übertragen werden.

Schaltest du die Funktion nicht ein, wird stattdessen ausschließlich die im Gerät/Browser integrierte Sprachausgabe verwendet – dabei verlassen die Texte dein Gerät nicht.

Auftragsverarbeitung & Drittland: Die Übermittlung an ElevenLabs, Inc. (USA) erfolgt auf Grundlage von Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Nach Auskunft des Anbieters werden über die API gesendete Inhalte nicht zum Training verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch Aktivierung der Funktion); bei sensiblen Inhalten zusätzlich Art. 9 Abs. 2 lit. a DSGVO. Du kannst die Einwilligung jederzeit widerrufen, indem du die Funktion in den Einstellungen wieder ausschaltest.

7b. Ideen & Erlebnisse (Orts-Vorschläge)

Im Bereich „Lebensfreude“ kannst du dir Erlebnis-Ideen zu echten Orten in deiner Nähe vorschlagen lassen. Dazu gibst du eine Stadt ein oder nutzt – nur auf ausdrücklichen Tipp und mit Browser-Zustimmung – deinen Standort (GPS).

Die Stadt bzw. die ungefähren Koordinaten werden an den Kartendienst Google Places (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) – bzw. als Ausweich-Dienst an OpenStreetMap (OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich; Geocoding „Nominatim“ und Orts-Abfrage „Overpass“) – sowie zur Formulierung der Ideen an unseren KI-Dienst Anthropic übermittelt. Es werden keine Konto- oder Profildaten mitgesendet.

Drittland: Google Ireland sitzt in der EU; soweit Daten an Google LLC (USA) gelangen, stützt sich die Übermittlung auf das EU-US Data Privacy Framework. Das Vereinigte Königreich (OpenStreetMap) verfügt über einen Angemessenheitsbeschluss der EU-Kommission. Für die Übermittlung an Anthropic (USA) gelten Standardvertragsklauseln (SCCs).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch Nutzung der Funktion bzw. Standortfreigabe). Die GPS-Nutzung ist optional; ohne sie kannst du einfach eine Stadt eintippen. Kartendaten: Google bzw. © OpenStreetMap-Mitwirkende.

💾 8. Lokale Datenspeicherung (localStorage)

Ergänzend zur serverseitigen Speicherung nutzt Anchorae den localStorage deines Geräts (Browser bzw. App-Container) für:

• Sprachauswahl (DE / EN)
• Lokaler Cache deiner Einträge für Offline-Fähigkeit
• Temporäre Sitzungsdaten und Anzeigeeinstellungen
• Zuletzt ausgewählte Themen (Kraft-Themen, SOS-Themen, Presets)

Diese Daten verbleiben auf deinem Gerät und werden nicht an unsere Server übertragen (außer sie sind bereits Teil deines synchronisierten Profils). Du kannst diese Daten jederzeit über die Einstellungen deines Browsers bzw. Betriebssystems löschen.

🍪 9. Cookies & technische Speicher

Anchorae verwendet ausschließlich technisch notwendige Speichermechanismen für:

• Sprachauswahl (Präferenz)
• Sitzungsverwaltung / Login-Status (Supabase Auth Token)
• Lokaler Cache deiner Einträge

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technischen Betrieb) sowie § 25 Abs. 2 TDDDG (technisch erforderlich).

✉️ 10. E-Mail-Kommunikation

Wenn du uns per E-Mail kontaktierst, werden deine Angaben (inkl. E-Mail-Adresse) zum Zweck der Bearbeitung der Anfrage und für Anschlussfragen gespeichert. Diese Daten werden nicht ohne deine Einwilligung weitergegeben.

Systembenachrichtigungen (z.B. Bestätigungs-E-Mails, Passwort-Reset) werden über Supabase Auth versendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.

💳 10b. Zahlungsabwicklung (Apple / Google Play)

🇮🇪 EU-konform PCI-DSS

Für den Kauf von Anchorae Pro (Monats-/Jahres-Abonnement), dem Founder-Tarif (Einmalzahlung) nutzen wir die Zahlungsinfrastruktur der jeweiligen App-Store-Betreiber:

• iOS/iPadOS/macOS: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland
• Android: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland

Die Zahlungsabwicklung erfolgt ausschließlich über Apple bzw. Google. Wir erhalten zu keinem Zeitpunkt Kreditkarten-, Bankverbindungs- oder sonstige Zahlungsdaten. Apple und Google teilen uns lediglich folgende Informationen mit:

• Eine pseudonyme Kauf-ID (keine Klarnamen)
• Die Produkt-ID des gekauften Produkts (z.B. anchorae_pro_yearly)
• Den Status des Abonnements (aktiv, gekündigt, abgelaufen, im Trial)
• Das Ablaufdatum des aktuellen Abrechnungszyklus
• Die Store-Region (Land, in dem der Kauf erfolgt ist – wichtig für Währung und Steuer)

Diese Informationen werden über den Zahlungsdienstleister RevenueCat Inc. (251 Rhode Island Street, Suite 203, San Francisco, CA 94103, USA) an unser Backend (Supabase) übermittelt und dort in der Tabelle user_entitlements gespeichert, um den Zugriff auf Pro-Features freizuschalten.

10b.1 Verwaltung und Kündigung von Abonnements

Die Verwaltung (Kündigung, Plan-Wechsel, Zahlungsmittel-Änderung) erfolgt ausschließlich in den Account-Einstellungen des jeweiligen Stores:

• iOS: Einstellungen → [Dein Name] → Abonnements
• Android: Google Play → Profil → Zahlungen und Abonnements → Abos

10b.2 Drittlandsübermittlung (RevenueCat)

RevenueCat Inc. hat seinen Sitz in den USA. Die Übermittlung der oben genannten Kaufdaten an RevenueCat erfolgt auf Grundlage von Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO sowie des EU-U.S. Data Privacy Framework, unter dem RevenueCat als Empfänger zertifiziert ist.

RevenueCat verarbeitet keine Gesundheits-, Reflexions- oder Coaching-Inhalte der App – ausschließlich Kaufdaten wie Produkt-ID, Preis, Währung, Kaufzeitpunkt und pseudonyme Nutzer-ID.

Datenschutzerklärung RevenueCat: revenuecat.com/privacy

10b.3 Speicherdauer Kaufdaten

Kaufdaten werden für die Dauer der Vertragsbeziehung sowie anschließend für die gesetzlichen Aufbewahrungsfristen (10 Jahre nach § 147 AO für steuerlich relevante Unterlagen) gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflicht).

📱 11. Native App (iOS / Android)

Anchorae wird zukünftig auch als native App im Apple App Store und im Google Play Store angeboten. Für die App-Nutzung gilt:

• Store-Daten: Beim Download und Kauf über den Store erfolgt eine Datenverarbeitung durch Apple Inc. bzw. Google LLC. Wir erhalten von den Store-Betreibern ausschließlich pseudonymisierte Installations- und Kaufdaten.
• Geräteberechtigungen: Anchorae greift nur auf Berechtigungen zu, die für die Funktion erforderlich sind (z.B. lokaler Speicher). Optional können Push-Benachrichtigungen aktiviert werden – hierfür ist deine ausdrückliche Einwilligung im System-Dialog des Betriebssystems erforderlich.
• Geräte-Identifier: Wir nutzen keine Werbe-IDs (IDFA/GAID). Für technische Zwecke (Session, Offline-Sync) kann ein anonymer Geräte-Token verarbeitet werden.
• Analytics: Es erfolgt kein Tracking über Drittanbieter-Analyse-SDKs (kein Firebase Analytics, kein Facebook SDK, kein AppsFlyer o.ä.).

Datenschutzerklärung der Store-Betreiber:
• apple.com/legal/privacy
• policies.google.com/privacy

🔄 12. Datenweitergabe an Dritte

Eine Übermittlung personenbezogener Daten an Dritte findet nur statt, wenn:

• dies zur Vertragserfüllung erforderlich ist
• eine gesetzliche Verpflichtung besteht
• du ausdrücklich eingewilligt hast

Aktuelle Auftragsverarbeiter:

• IONOS SE (Deutschland) – Webhosting anchorae.app
• Cloudflare, Inc. (USA) – CDN, Reverse-Proxy, TLS-Verschlüsselung & Sicherheit für anchorae.app
• Supabase Inc. (EU-Region Irland) – Backend, Datenbank, Authentifizierung
• Anthropic, PBC (USA) – KI-Verarbeitung der von dir gesendeten Eingaben für den KI-Begleiter „Anchorae“ (technisch auf Basis des Sprachmodells „Claude“ von Anthropic) für Coaching-, Chat-, Einordnungs- und Achtsamkeits-Funktionen
• ElevenLabs, Inc. (USA) – Sprachausgabe/Vorlesen (Text-to-Speech), nur wenn du die natürliche Cloud-Stimme in den Einstellungen aktivierst
• Google Ireland Ltd. (Irland) – Orts-Vorschläge („Places API“) für „Ideen & Erlebnisse“, nur bei Nutzung dieser Funktion
• OpenStreetMap Foundation (UK) – Geocoding & Orts-Vorschläge (Nominatim/Overpass) für „Ideen & Erlebnisse“ (Ausweich-Dienst), nur bei Nutzung dieser Funktion
• Apple Inc. (USA/Irland) – App Store Distribution (nur für iOS-Nutzer)
• Google LLC (USA/Irland) – Play Store Distribution (nur für Android-Nutzer)
• Clevver GmbH (Deutschland) – Virtuelle Geschäftsadresse

🌍 13. Datenübermittlung in Drittländer

Alle personenbezogenen Kern-Daten werden innerhalb der Europäischen Union bzw. des EWR verarbeitet:

• IONOS: Deutschland 🇩🇪
• Supabase: AWS eu-west-1, Dublin/Irland 🇮🇪
• Cloudflare: USA 🇺🇸 (SCCs + EU-U.S. Data Privacy Framework)
• Anthropic (KI-Begleiter „Anchorae“, Modell Claude): USA 🇺🇸 (Standardvertragsklauseln/SCCs)
• ElevenLabs (Vorlesen): USA 🇺🇸 (Standardvertragsklauseln/SCCs) – nur bei aktivierter Cloud-Stimme
• Google (Ideen): Irland 🇮🇪, ggf. USA 🇺🇸 (EU-US Data Privacy Framework) – nur bei Nutzung der Ideen-Funktion
• OpenStreetMap (Ideen): Vereinigtes Königreich 🇬🇧 (Angemessenheitsbeschluss) – nur bei Nutzung der Ideen-Funktion (Ausweich-Dienst)

Supabase Inc. hat seinen Hauptsitz in Singapur. Die Datenverarbeitung unserer Instanz erfolgt jedoch ausschließlich in der EU-Region (Irland). Sollte für Support-Fälle ein Zugriff aus Drittländern erforderlich sein, erfolgt dies auf Grundlage von Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

Der KI-Dienstleister Anthropic, PBC (San Francisco, USA) verarbeitet die von dir an die KI gesendeten Eingaben (z. B. SOS-Chat, „Herz-Feld“, Achtsamkeits-Eingaben), um die Antwort zu erzeugen. Für diese Übermittlung in die USA gelten Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Nach Auskunft des Anbieters werden über die Schnittstelle (API) gesendete Inhalte nicht zum Training der KI-Modelle verwendet.

Das vorgeschaltete CDN Cloudflare, Inc. (USA) verarbeitet Verbindungsdaten in den USA auf Grundlage von Standardvertragsklauseln (SCCs) sowie des EU-U.S. Data Privacy Framework, unter dem Cloudflare zertifiziert ist.

Der Sprachdienstleister ElevenLabs, Inc. (New York, USA) verarbeitet den vorzulesenden Text in den USA, um die Audioausgabe zu erzeugen – jedoch nur, wenn du das Cloud-Vorlesen in den Einstellungen aktiviert hast. Für diese Übermittlung gelten Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

Die Store-Betreiber Apple und Google können Daten auch außerhalb der EU verarbeiten. Es gelten SCCs und das EU-U.S. Data Privacy Framework.

⏱️ 14. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt:

• Server-Logfiles: max. 7 Tage
• Kontodaten (E-Mail, Passwort): bis zur Löschung deines Kontos
• Inhalte (Ziele, Reflexionen, SOS-Notizen, Chat-Verlauf): bis du sie selbst löschst oder dein Konto löschst
• Lokaler Cache (localStorage): bis du ihn manuell löschst oder die App deinstallierst
• KI-Chat-Logs beim Dienstleister: gemäß dessen Aufbewahrungsrichtlinien (typischerweise 30 Tage für Missbrauchsprävention)

Bei Löschung deines Kontos werden alle mit deinem Konto verknüpften Inhalte innerhalb von 30 Tagen endgültig gelöscht.

🛡️ 15. Deine Rechte (DSGVO)

Du hast uns gegenüber folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – „Recht auf Vergessenwerden“
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft

Zur Ausübung deiner Rechte wende dich bitte an: [email protected]

Wir werden deine Anfrage unverzüglich, spätestens innerhalb eines Monats nach Eingang bearbeiten (Art. 12 Abs. 3 DSGVO).

📮 16. Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren.

Zuständige Aufsichtsbehörde für unseren Geschäftssitz:

🩺 17. Wichtiger Hinweis – keine medizinische Beratung

Anchorae ist eine Selbsthilfe- und Lebenshilfe-App. Die bereitgestellten Inhalte, Übungen und KI-Antworten stellen keine medizinische, psychologische oder therapeutische Beratung dar und ersetzen nicht die Behandlung durch qualifizierte Fachärzte oder Psychotherapeuten.

Anchorae ist kein Medizinprodukt im Sinne der MDR 2017/745 und keine DiGA nach § 33a SGB V.

📝 18. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen.

Letzte Aktualisierung: Juni 2026

🏢 1. Data Controller

The controller responsible for data processing in the Anchorae app and on this website is:

Email: [email protected]
Website: anchorae.app

📋 2. General Information

We process personal data of our users only to the extent necessary for providing a functional life-help and self-help app. Processing generally takes place only with user consent or where permitted by law.

⚖️ 3. Legal Bases

• Art. 6(1)(a) GDPR – Consent of the data subject
• Art. 6(1)(b) GDPR – Performance of a contract (app functionality)
• Art. 6(1)(f) GDPR – Legitimate interests (IT security)

🌐 4. Website Hosting (IONOS)

🇩🇪 Hosted in Germany

The website anchorae.app is hosted by:

IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Germany

When you visit our website, the web server automatically collects:

• IP address of the requesting device
• Date and time of access
• Name and URL of the requested file
• Volume of data transferred
• Success status of the request
• Browser and OS identification
• Referrer URL

This data is temporarily stored in server log files based on legitimate interest (Art. 6(1)(f) GDPR) and deleted after no more than 7 days.

Data Processing Agreement: We have concluded a DPA with IONOS pursuant to Art. 28 GDPR.

🗄️ 5. Backend & Database (Supabase)

🇮🇪 EU Data Centre (Ireland) SOC 2 Type II

For authentication, data storage, and server-side logic Anchorae uses:

Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992

Our Supabase project is hosted in the AWS region eu-west-1 (Ireland). All personal data therefore remains within the European Union.

5.1 Security Measures

• Encryption in transit (TLS 1.2+) and at rest (AES-256)
• Row Level Security (RLS) – users can only access their own data
• Passwords stored as bcrypt hashes (never plain text)
• Regular backups within the EU region
• SOC 2 Type II certified

Legal basis: Art. 6(1)(b) GDPR (performance of a contract).

Data Processing Agreement: Data processing by Supabase is carried out on the basis of a DPA pursuant to Art. 28 GDPR.

🔍 6. Data Processed in Anchorae

6.1 Registration & Authentication

• Email address
• Password (encrypted, bcrypt)
• Login timestamps and session token
• Optional: first name / display name

Legal basis: Art. 6(1)(b) GDPR.

6.2 App Content

Anchorae only stores data you enter yourself in the app:

• Vision & life goals: goal name, description, target date
• Mood tracking: your daily mood emoji and date
• Streak & weekly progress: your check-in dates
• Strength topics / affirmations: selected topics, favourited quotes
• SMS reflections (Stage – Meaning – Strategy): your free text entries
• Healing journey / daily impulses: selected pillars and completed tasks
• SOS history & personal notes: your personal notes on SOS topics
• Chat history with “Anchorae” (SOS): your questions and AI responses

Special categories (Art. 9 GDPR): Anchorae is designed so that you may enter sensitive content (health, emotions, personal crises) in free text fields. Entering such content is entirely your own decision. The legal basis is then your explicit consent pursuant to Art. 9(2)(a) GDPR.

🤖 7. AI-Assisted Features

Anchorae uses an external AI service provider (Large Language Model) for some features, in particular:

• Daily coaching impulses and affirmations
• Feedback from “Anchorae” on SMS reflections
• SOS chat (“Talk to Anchorae”)
• Coaching hints on defined goals
• Healing journey companion

When using these features, the texts you enter (your question, your context, goal or reflection content) are transmitted to the AI service provider to generate a response.

The AI service provider processes the data solely to answer your request. Use for model training is contractually excluded where offered by the provider. AI-generated responses may be incorrect, incomplete, or inappropriate and do not replace professional advice.

Legal basis: Art. 6(1)(b) GDPR (performance of a contract) and, for sensitive free text entries, additionally Art. 9(2)(a) GDPR (your explicit consent through active input).

7a. Read-Aloud / Speech Output (Text-to-Speech)

Anchorae optionally offers to read texts aloud (e.g. mindfulness exercises or AI responses) with a natural-sounding voice. This feature is disabled by default and must be explicitly enabled by you in the settings.

When enabled, the text to be read is transmitted to the voice service provider ElevenLabs, Inc., 169 Madison Ave #2484, New York, NY 10016, USA, to generate the audio output. Because this text may be derived from your inputs, sensitive content may be transmitted as well.

If you do not enable the feature, only your device/browser’s built-in speech output is used – in that case the texts never leave your device.

Processing & third country: The transfer to ElevenLabs, Inc. (USA) is based on Standard Contractual Clauses (SCCs) pursuant to Art. 46(2)(c) GDPR. According to the provider, content sent via the API is not used for training.

Legal basis: Art. 6(1)(a) GDPR (your consent by enabling the feature); for sensitive content additionally Art. 9(2)(a) GDPR. You can withdraw your consent at any time by disabling the feature in the settings.

7b. Ideas & Experiences (place suggestions)

In the “Joy” area you can request experience ideas based on real places near you. To do so you enter a city or — only on explicit tap and with browser consent — use your location (GPS).

The city or approximate coordinates are sent to the map service Google Places (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland) – or, as a fallback service, to OpenStreetMap (OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, United Kingdom; “Nominatim” geocoding and “Overpass” place lookup) – and, to phrase the ideas, to our AI provider Anthropic. No account or profile data is sent along.

Third country: Google Ireland is based in the EU; insofar as data reaches Google LLC (USA), the transfer relies on the EU-US Data Privacy Framework. The United Kingdom (OpenStreetMap) has an EU Commission adequacy decision. For the transfer to Anthropic (USA), Standard Contractual Clauses (SCCs) apply.

Legal basis: Art. 6(1)(a) GDPR (your consent by using the feature / sharing your location). GPS use is optional; without it you can simply type a city. Map data: Google or © OpenStreetMap contributors.

💾 8. Local Data Storage (localStorage)

In addition to server-side storage, Anchorae uses your device’s localStorage (browser or app container) for:

• Language preference (DE / EN)
• Local cache of your entries for offline capability
• Temporary session and display settings
• Recently selected topics (strength topics, SOS topics, presets)

This data remains on your device and is not transmitted to our servers (unless it is already part of your synchronised profile). You can delete this data at any time via your browser or operating system settings.

🍪 9. Cookies & Technical Storage

Anchorae uses exclusively technically necessary storage mechanisms for:

• Language preference
• Session management / login status (Supabase auth token)
• Local cache of your entries

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in technical operation) and § 25(2) TDDDG (technically necessary).

✉️ 10. Email Communication

When you contact us by email, your details (including email address) are stored for the purpose of processing your enquiry and for follow-up questions. This data will not be shared without your consent.

System notifications (confirmation emails, password reset) are sent via Supabase Auth.

Legal basis: Art. 6(1)(b) or Art. 6(1)(f) GDPR.

💳 10b. Payment Processing (Apple / Google Play)

🇮🇪 EU-compliant PCI-DSS

For the purchase of Anchorae Pro (monthly/yearly subscription), the Founder plan (one-time payment), we use the payment infrastructure of the respective app store operators:

• iOS/iPadOS/macOS: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ireland
• Android: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland

Payment processing is handled exclusively by Apple or Google. We never receive credit card, bank account, or other payment data. Apple and Google only share the following information with us:

• A pseudonymous purchase ID (no real names)
• The product ID of the purchased product (e.g. anchorae_pro_yearly)
• The subscription status (active, cancelled, expired, in trial)
• The expiry date of the current billing cycle
• The store region (country where the purchase was made – relevant for currency and tax)

This information is transmitted via the payment service provider RevenueCat Inc. (251 Rhode Island Street, Suite 203, San Francisco, CA 94103, USA) to our backend (Supabase) and stored there in the user_entitlements table to unlock access to Pro features.

10b.1 Subscription Management and Cancellation

Management (cancellation, plan change, payment method change) is carried out exclusively in the account settings of the respective store:

• iOS: Settings → [Your Name] → Subscriptions
• Android: Google Play → Profile → Payments and subscriptions → Subscriptions

10b.2 Third-country transfer (RevenueCat)

RevenueCat Inc. is headquartered in the USA. The transfer of the purchase data mentioned above to RevenueCat is based on Standard Contractual Clauses (SCCs) pursuant to Art. 46(2)(c) GDPR and the EU-U.S. Data Privacy Framework, under which RevenueCat is certified as a recipient.

RevenueCat does not process any health, reflection, or coaching content of the app – only purchase data such as product ID, price, currency, purchase time, and pseudonymous user ID.

RevenueCat Privacy Policy: revenuecat.com/privacy

10b.3 Retention of purchase data

Purchase data is stored for the duration of the contractual relationship and subsequently for the statutory retention periods (10 years pursuant to § 147 German Fiscal Code for tax-relevant documents).

Legal basis: Art. 6(1)(b) GDPR (performance of a contract) and Art. 6(1)(c) GDPR (statutory retention obligation).

📱 11. Native App (iOS / Android)

Anchorae will also be offered as a native app on the Apple App Store and Google Play Store in the future. For app usage the following applies:

• Store data: When downloading and purchasing through the store, data processing is carried out by Apple Inc. and Google LLC respectively. We only receive pseudonymised installation and purchase data from the store operators.
• Device permissions: Anchorae only accesses permissions required for the app’s function (e.g., local storage). Push notifications are optional and require your explicit consent via the operating system dialog.
• Device identifiers: We do not use advertising IDs (IDFA/GAID). An anonymous device token may be processed for technical purposes (session, offline sync).
• Analytics: No tracking via third-party analytics SDKs (no Firebase Analytics, no Facebook SDK, no AppsFlyer, etc.).

Privacy policies of the store operators:
• apple.com/legal/privacy
• policies.google.com/privacy

🔄 12. Data Sharing with Third Parties

Personal data is only transferred to third parties if:

• it is necessary for the performance of a contract
• a legal obligation exists
• you have given your express consent

Current data processors:

• IONOS SE (Germany) – Web hosting anchorae.app
• Supabase Inc. (EU region Ireland) – Backend, database, authentication
• Anthropic, PBC (USA) – AI processing of the inputs you send for the AI companion “Anchorae” (technically powered by Anthropic’s “Claude” language model) for coaching, chat, classification and mindfulness features
• ElevenLabs, Inc. (USA) – speech output / read-aloud (text-to-speech), only if you enable the natural cloud voice in the settings
• Google Ireland Ltd. (Ireland) – place suggestions (“Places API”) for “Ideas & experiences”, only when you use that feature
• OpenStreetMap Foundation (UK) – geocoding & place suggestions (Nominatim/Overpass) for “Ideas & experiences” (fallback service), only when you use that feature
• Apple Inc. (USA/Ireland) – App Store distribution (iOS users only)
• Google LLC (USA/Ireland) – Play Store distribution (Android users only)
• Clevver GmbH (Germany) – Virtual business address

🌍 13. Data Transfers to Third Countries

All core personal data is processed within the European Union or the EEA:

• IONOS: Germany 🇩🇪
• Supabase: AWS eu-west-1, Dublin/Ireland 🇮🇪

Supabase Inc. is headquartered in Singapore. However, the data processing for our instance is carried out exclusively in the EU region (Ireland). If access from third countries is required for support purposes, this is done on the basis of Standard Contractual Clauses (SCCs) pursuant to Art. 46(2)(c) GDPR.

The AI service provider Anthropic, PBC (San Francisco, USA) processes the inputs you send to the AI (e.g. SOS chat, “Heart field”, mindfulness entries) to generate the response. Standard Contractual Clauses (SCCs) pursuant to Art. 46(2)(c) GDPR apply to this transfer to the USA. According to the provider, content sent via the API is not used to train the AI models.

The voice service provider ElevenLabs, Inc. (New York, USA) processes the text to be read in the USA to generate the audio output – but only if you have enabled cloud read-aloud in the settings. Standard Contractual Clauses (SCCs) pursuant to Art. 46(2)(c) GDPR apply to this transfer.

The map services Google Places (Google Ireland Limited; insofar as data reaches Google LLC in the USA, the EU-US Data Privacy Framework applies) and – as a fallback – OpenStreetMap (OpenStreetMap Foundation, United Kingdom) process the city/approximate location for the “Ideas & experiences” feature – only when you use it. The UK benefits from an EU Commission adequacy decision. Map data: Google or © OpenStreetMap contributors.

The store operators Apple and Google may also process data outside the EU. SCCs and the EU-U.S. Data Privacy Framework apply.

⏱️ 14. Retention Periods

• Server log files: max. 7 days
• Account data (email, password): until account deletion
• Content (goals, reflections, SOS notes, chat history): until you delete it yourself or delete your account
• Local cache (localStorage): until you delete it manually or uninstall the app
• AI chat logs at the provider: according to the provider’s retention policy (typically 30 days for abuse prevention)

When you delete your account, all content linked to your account is permanently deleted within 30 days.

🛡️ 15. Your Rights (GDPR)

• Access (Art. 15 GDPR)
• Rectification (Art. 16 GDPR)
• Erasure (Art. 17 GDPR) – “Right to be forgotten”
• Restriction (Art. 18 GDPR)
• Data portability (Art. 20 GDPR)
• Objection (Art. 21 GDPR)
• Withdrawal of given consent at any time with effect for the future

To exercise your rights, please contact: [email protected]

We will process your request without undue delay and within one month of receipt (Art. 12(3) GDPR).

📮 16. Right to Lodge a Complaint

You have the right to lodge a complaint with a data protection supervisory authority. The competent supervisory authority for our registered office is:

🩺 17. Important Notice – No Medical Advice

Anchorae is a self-help and life-help app. The content, exercises, and AI responses provided do not constitute medical, psychological, or therapeutic advice and do not replace treatment by qualified physicians or psychotherapists.

Anchorae is not a medical device within the meaning of MDR 2017/745 and is not a DiGA pursuant to § 33a SGB V.

📝 18. Changes to this Privacy Policy

We reserve the right to amend this privacy policy to ensure it always complies with current legal requirements or to implement changes to our services.

Last updated: Juni 2026