Stand: Juli 2026
WIN.ROCKS AG, Alte Haslenstrasse 5, 9053 Teufen, Schweiz · UID CHE-231.220.403 · Kontakt: hello@maluu.ai. Es gelten das Schweizer Datenschutzgesetz (DSG) und, soweit anwendbar, die EU-Datenschutz-Grundverordnung (DSGVO).
Konto: E-Mail-Adresse, Passwort (verschlüsselt gespeichert), gewählte Sprache, Abo-Status. Bei Anmeldung über Google erhalten wir die von Google freigegebene E-Mail-Adresse.
Gespräche & persönlicher Graph: maluu ist ein persönlicher Begleiter — deine Nachrichten und die daraus abgeleiteten Erkenntnisse (dein „Graph": Ziele, Themen, Gewohnheiten) werden gespeichert, um dich individuell zu begleiten. Sie werden nicht für Werbung verwendet und nicht an Dritte verkauft.
Gesundheitsbezogene Daten (Art. 9 DSGVO): Funktionen wie Snap (Fotoanalyse), Wearable-Daten (z. B. Schlaf, Herzfrequenz über Terra), Zyklus- oder Supplement-Angaben verarbeiten wir ausschließlich mit deiner vorherigen, ausdrücklichen Einwilligung. Du kannst jede Einwilligung jederzeit in den Einstellungen unter „Datenschutz" widerrufen. maluu gibt Impulse — keine medizinischen Diagnosen; es ersetzt keine ärztliche Beratung.
Zahlungsdaten: Zahlungen werden durch Stripe abgewickelt. Wir speichern keine Kreditkartendaten — wir erhalten von Stripe nur Status- und Rechnungsinformationen.
Technische Daten: Server-Logs (IP-Adresse, Zeitpunkt, abgerufene Seite) zur Sicherstellung des Betriebs sowie anonyme Nutzungsereignisse zur Verbesserung des Produkts.
Reichweiten-Messung (cookielos): Auf unseren öffentlichen Seiten zählen wir Besuche selbst und bewusst ohne Cookies, ohne IP-Speicherung und ohne Fingerprinting. Erfasst werden nur: aufgerufene Seite, Herkunfts-Domain des Besuchs und ggf. eine Kampagnen-Kennung (UTM). Ein Bezug zu deiner Person ist damit nicht möglich.
Werbe-Messung auf unseren öffentlichen Seiten (nur mit Einwilligung): Auf unseren öffentlichen Landing- und Kampagnenseiten setzen wir Werkzeuge von Meta ein (Meta-Pixel und Conversions API), um zu messen, ob unsere Werbung wirkt — aber nur, wenn du zuvor über den Einwilligungs-Banner zugestimmt hast. Übermittelt werden ausschließlich kaufmännische Ereignisse: aufgerufene Seite, Start der Testphase, Kauf. Niemals übermitteln wir Inhalte aus deinen Gesprächen, deinem Graphen oder gesundheitsbezogene Angaben. Im eingeloggten Produkt selbst findet kein Werbetracking statt — dort lädt kein Meta-Skript. Deine Einwilligung kannst du jederzeit über die Cookie-Einstellungen auf unseren Seiten widerrufen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Setzen wir künftig weitere Werbeplattformen ein — insbesondere Google Ads oder TikTok —, gelten exakt dieselben Regeln: nur auf den öffentlichen Seiten, nur nach deiner Einwilligung über den Banner, nur kaufmännische Ereignisse, niemals im eingeloggten Produkt.
Anonymer Chat auf Landing- und Kampagnenseiten: Du kannst dort ohne Konto mit maluu sprechen. Deine Nachrichten werden zur Erzeugung der Antwort an unseren KI-Dienstleister übermittelt (siehe Ziffer 4), aber nicht dauerhaft gespeichert und nicht mit einer Person verknüpft — wir zählen lediglich anonym, dass ein Gespräch stattgefunden hat. Bitte teile dort keine sensiblen Daten; dafür ist dein geschützter Konto-Bereich da.
Google Kalender (nur, wenn du ihn selbst verbindest): Verbindest du deinen Google Kalender, rufen wir ausschließlich lesend deine Termine ab: Titel, Beschreibung, Ort, Beginn und Ende sowie die Angabe, ob du zu- oder abgesagt hast. Wir nutzen sie zu einem einzigen Zweck — damit maluu weiß, wie dein Tag aussieht, und dir Impulse zu einem Zeitpunkt schickt, an dem sie hineinpassen. Wir schreiben nichts in deinen Kalender, legen keine Termine an und ändern nichts. Gespeichert werden der Zugangs-Schlüssel und die für die Zuordnung nötigen Termindaten; die Verbindung kannst du jederzeit in den Einstellungen trennen. Danach löschen wir Schlüssel und übernommene Termindaten. Zusätzlich kannst du die Freigabe jederzeit direkt bei Google unter myaccount.google.com/permissions widerrufen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
E-Mail-Kommunikation: Schreibst du uns (z. B. an hello@maluu.ai), verarbeiten wir Absender-Adresse und Inhalt zur Bearbeitung deines Anliegens. Eingehende Nachrichten werden KI-gestützt vorsortiert (z. B. „Fehlermeldung" oder „Support-Frage"); Entscheidungen trifft immer ein Mensch. Du erhältst eine automatische Eingangsbestätigung.
Zur Bereitstellung von maluu (Vertragserfüllung), zur Personalisierung deiner Begleitung (Einwilligung bzw. Vertrag), zur Abrechnung (Vertrag, gesetzliche Aufbewahrung), zur Sicherheit des Betriebs (berechtigtes Interesse) und — nur mit Einwilligung — zur Verarbeitung gesundheitsbezogener Angaben.
Künstliche Intelligenz (Transparenz nach EU-KI-Verordnung): maluu ist ein KI-System im Sinne der Verordnung (EU) 2024/1689. Wenn du mit maluu sprichst oder schreibst, interagierst du mit einer künstlichen Intelligenz — nicht mit einem Menschen; von maluu erzeugte Inhalte sind KI-generiert und werden entsprechend gekennzeichnet (Art. 50 der Verordnung). maluu trifft keine automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO) — Impulse sind Anregungen, die Entscheidung bleibt bei dir.
Wir arbeiten mit sorgfältig ausgewählten Dienstleistern, die Daten in unserem Auftrag verarbeiten: Supabase (Datenbank & Login, Hosting in Frankfurt/EU), Hetzner (Server & E-Mail-Postfächer, Deutschland), Anthropic (KI-Verarbeitung deiner Anfragen; keine Nutzung zum Training), OpenAI (Ausweich-KI, nur wenn unser Hauptdienst kurzzeitig nicht verfügbar ist; keine Nutzung zum Training über die API), Stripe (Zahlungen), ElevenLabs (Sprachausgabe), Terra (Wearable-Anbindung, nur mit Einwilligung) sowie Google LLC (Google-Login und — nur wenn du ihn verbindest — Google Kalender; Übermittlung in die USA auf Basis des EU-U.S. Data Privacy Framework und der EU-Standardvertragsklauseln). Für die Werbe-Messung auf unseren öffentlichen Seiten (nur mit Einwilligung, siehe Ziffer 2) arbeiten wir mit Meta Platforms Ireland Ltd.; für die dabei erhobenen Ereignisdaten sind wir mit Meta teilweise gemeinsam verantwortlich (Art. 26 DSGVO), die Übermittlung in die USA erfolgt auf Basis des EU-U.S. Data Privacy Framework — Einzelheiten in Metas Datenschutzrichtlinie. Setzen wir künftig weitere Werbeplattformen ein, kommen als Empfänger Google Ireland Ltd. (Google Ads) bzw. TikTok Technology Ltd. (Irland) hinzu — jeweils nur mit deiner Einwilligung, beschränkt auf kaufmännische Ereignisse der öffentlichen Seiten und mit Drittlandübermittlung nur auf Basis anerkannter Garantien (EU-Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework). Für die Recherche allgemeiner Wissensquellen nutzen wir Perplexity — dabei werden keine personenbezogenen Daten übermittelt. Mit allen Anbietern bestehen entsprechende Verträge; Übermittlungen in Drittländer erfolgen auf Basis anerkannter Garantien (z. B. EU-Standardvertragsklauseln).
Eingeschränkte Verwendung von Google-Nutzerdaten (Limited Use): Der Umgang von maluu mit Informationen, die über Google-APIs empfangen werden, richtet sich nach den Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Konkret heißt das: Wir verwenden deine Google-Kalenderdaten ausschließlich, um dir innerhalb von maluu passende Impulse zu geben. Wir geben sie nicht weiter und verkaufen sie nicht. Wir nutzen sie nicht für Werbung, für keinerlei Werbezwecke und für kein Profiling zu Marketingzwecken. Wir nutzen sie nicht zum Trainieren oder Verbessern von KI-Modellen — weder eigener noch fremder. Und kein Mensch liest sie: Zugriff besteht nur automatisiert, außer du bittest uns ausdrücklich um Hilfe, es ist zur Wahrung der Sicherheit oder zur Erfüllung geltenden Rechts erforderlich.
Kontodaten speichern wir, solange dein Konto besteht. Löschst du dein Konto, werden deine persönlichen Daten gelöscht; gesetzliche Aufbewahrungspflichten (z. B. Rechnungen, 10 Jahre) bleiben unberührt.
Verbundene Dienste: Trennst du eine Verbindung (z. B. Google Kalender oder ein Wearable), nehmen wir die Freigabe beim Anbieter zurück und löschen den zugehörigen Zugangs-Schlüssel sowie die daraus übernommenen Daten sofort — nicht erst nach einer Frist. Erkenntnisse, die du bewusst in deinem Graph behalten hast, bleiben davon unberührt — die gehören dir und verschwinden erst, wenn du sie löschst.
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit sowie Widerruf erteilter Einwilligungen — direkt in den Einstellungen unter „Datenschutz" oder per E-Mail an hello@maluu.ai. Wir antworten innerhalb von 30 Tagen. Zudem kannst du dich bei der zuständigen Aufsichtsbehörde beschweren (Schweiz: EDÖB).
Im eingeloggten Produkt verwendet maluu ausschließlich technisch notwendige Cookies bzw. lokale Speicherung (Login-Sitzung, Sprachwahl) — dort gibt es kein Werbe-Tracking und keine Drittanbieter-Cookies.
Auf unseren öffentlichen Landing- und Kampagnenseiten setzen wir Marketing-Cookies (Meta-Pixel, künftig ggf. Google-Ads- oder TikTok-Messung, siehe Ziffer 2) nur ein, wenn du über den Einwilligungs-Banner zustimmst; deine Entscheidung kannst du dort jederzeit ändern. Zusätzlich speichern diese Seiten eine lokale Herkunfts-Notiz, damit wir wissen, über welche Kampagne du zu maluu gefunden hast — sie bleibt auf deinem Gerät, bis du dich registrierst oder sie löschst.
Du kannst deine Cookie-Entscheidung hier jederzeit zurücksetzen.
Wir passen diese Erklärung an, wenn sich maluu weiterentwickelt. Die jeweils aktuelle Fassung findest du immer unter maluu.ai/datenschutz.