Datenschutzerklärung

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist der Betreiber der Nutrisia Plattform; die Kontaktdaten stehen im Impressum. Für Datenschutzanfragen erreichen Sie uns unter privacy@nutrisia.de. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Für die Kernfunktionen der App erfassen wir Gesundheitsdaten (Art. 9 DSGVO). Dazu gehören je nach Nutzung: Gewicht, Körpermaße, Körpergröße, Geburtsdatum, Geschlecht, Allergien, Ernährungsgewohnheiten und Ernährungstagebuch, Gesundheits- und Fitnessziele, Angaben zu Schlaf (Schlafdauer und -qualität), Stress, Wasseraufnahme, Bewegung (einschließlich Schrittzahl), Rauchen und Alkohol, eingenommene Nahrungsergänzungsmittel, Fastenzeiten, Gewohnheiten, Stimmungs- und Energieangaben, Laborwerte (Biomarker) und Fortschrittsfotos. Die Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie bei der Registrierung bzw. im Onboarding erteilen und jederzeit widerrufen können. Ohne diese Einwilligung können wir die Kernfunktionen nicht bereitstellen.

Wenn Sie einen Coach anfragen oder seine Einladung annehmen, willigen Sie ausdrücklich ein, dass genau dieser Coach Ihre erfassten Gesundheits- und Ernährungsdaten sowie Ihre Antworten auf seinen Fragebogen sehen darf (Art. 9 Abs. 2 lit. a DSGVO). Sichtbar werden die Daten erst, wenn Sie das Coaching gebucht haben. Die Einwilligung gilt nur für diesen Coach; Sie können sie jederzeit widerrufen, indem Sie das Coaching beenden. Der Coach kann zu Ihnen persönliche Notizen führen. Diese sind nur für ihn sichtbar, werden verschlüsselt gespeichert, nicht automatisch ausgewertet und gelöscht, sobald die Zusammenarbeit endet; Ihre Fragebogen-Antworten werden dann ebenfalls gelöscht.

Unsere Plattform nutzt die KI-Dienste von Google (Gemini API; Google Ireland Limited bzw. Google LLC), um hochgeladene Lebensmittelfotos zu analysieren und Nährwerte zu berechnen, um Fotos von Nährwerttabellen auf Verpackungen auszulesen und um frei beschriebene Mahlzeiten (z. B. „2 Scheiben Brot mit Käse“) in einzelne Lebensmittel und Mengen zu zerlegen. Wenn Sie diese Funktionen nutzen, werden die Bilddateien bzw. Ihr eingegebener Text an Server von Google übertragen und dort verarbeitet; die Nährwerte bei beschriebenen Mahlzeiten stammen anschließend aus unserer eigenen Lebensmitteldatenbank. Standort- und Gerätedaten (Metadaten) entfernen wir vorher aus Fotos. Diktieren Sie eine Beschreibung per Mikrofon, erfolgt die Spracherkennung durch die Spracherkennung Ihres Browsers bzw. Betriebssystems (je nach Gerät z. B. durch Google oder Apple); bei uns kommt nur der erkannte Text an, keine Audioaufnahme. Wir übermitteln keine direkt identifizierenden Daten (wie Namen oder E-Mail-Adresse). Wenn Sie den Ernährungs-Assistenten („Frag die KI“) nutzen, werden Ihre Frage, der bisherige Chatverlauf, Ihre heutigen Ziel- und Ist-Nährwerte, Ernährungsvorlieben, Ihre gespeicherten Rezepte und – nur mit Ihrer Gesundheitsdaten-Einwilligung – Ihre Allergien übertragen; der Chat wird nicht gespeichert. Die Verarbeitung kann auch außerhalb der EU, insbesondere in den USA, erfolgen; sie ist durch EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO) zu KI-Verarbeitung und Weitergabe an Dritte, die Sie jederzeit in den Datenschutz-Einstellungen widerrufen können.

Zusätzlich nutzen wir Gemini, um Coaches automatisiert erstellte Hinweise zu ihren Klienten bereitzustellen (z. B. zu Trainingsfortschritt und Engagement). Hierfür können neben Ernährungsdaten auch Ihr Gewichtsverlauf, Stimmungs- und Energieangaben sowie Ihr Check-in-Verlauf der letzten 14 Tage an Google übermittelt werden — ebenfalls ohne direkt identifizierende Daten wie Name oder E-Mail-Adresse. Da es sich hierbei um Gesundheitsdaten handelt, erfolgt diese Verarbeitung nur auf Grundlage Ihrer ausdrücklichen, jederzeit widerruflichen Einwilligung (Art. 9 Abs. 2 lit. a i.V.m. Art. 6 Abs. 1 lit. a DSGVO) zu Gesundheitsdaten- und KI-Verarbeitung. Sie können dieser automatisierten Profilbildung außerdem jederzeit über Ihr Widerspruchsrecht (siehe Abschnitt 7) widersprechen; solange ein Widerspruch nicht abschließend bearbeitet ist, wird die betroffene Verarbeitung vorsorglich blockiert.

Wenn Sie ein kostenpflichtiges Abonnement abschließen, ein Coaching buchen oder Premium-Services bei Coaches buchen, erfolgt die Zahlungsabwicklung über Stripe Payments Europe, Ltd. Coaching und Premium-Services bezahlen Sie an den Coach: Stripe zieht den Betrag in seinem Namen ein und zahlt ihn an ihn aus, die Plattform erhält davon nur ihre Gebühr. Ihre Zahlungsdaten werden direkt von Stripe verarbeitet; wir speichern keine vollständigen Kartendaten. Stripe verarbeitet Daten gegebenenfalls auch in den USA unter Einhaltung des EU-US Data Privacy Frameworks.

Neben den oben genannten Diensten setzen wir folgende weitere Auftragsverarbeiter ein: DigitalOcean (Hosting unseres Anwendungsservers im Rechenzentrum Frankfurt am Main), Supabase (Hosting unserer Datenbank und unseres Datei-Speichers im Rechenzentrum Frankfurt am Main, Versand von Konto-Bestätigungs-E-Mails sowie Echtzeit-Funktion im Chat), Resend (Versand von Transaktions-E-Mails), Sentry (Fehler- und Absturzüberwachung für unsere Web- und Mobil-Anwendungen, wobei technische Daten einschließlich Ihrer IP-Adresse verarbeitet werden können; Rechtsgrundlage: berechtigtes Interesse an einem stabilen und sicheren Betrieb, Art. 6 Abs. 1 lit. f DSGVO), Cookiebot (Einwilligungsverwaltung für Cookies) sowie Google Firebase Cloud Messaging (Zustellung von Push-Benachrichtigungen, sofern Sie diese aktivieren). Mit allen Anbietern, die Daten außerhalb der EU/des EWR verarbeiten können, bestehen bzw. werden Standardvertragsklauseln oder ein gleichwertiger Schutzmechanismus vereinbart. Mit den genannten Auftragsverarbeitern schließen wir Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO ab; der Abschluss mit allen Anbietern befindet sich derzeit im Prozess der Fertigstellung.

Sie haben jederzeit das Recht auf unentgeltliche Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) Ihrer gespeicherten personenbezogenen Daten; Datenexport und Kontolöschung finden Sie in der App unter Einstellungen → Datenschutz. Wenn Sie uns eine Einwilligung erteilt haben, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die aufgrund unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmung gestütztes Profiling (Art. 21 Abs. 1 DSGVO). Werden Ihre personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht (Art. 21 Abs. 2 DSGVO). Sie können Ihren Widerspruch bequem über den Bereich "Widerspruch gegen Datenverarbeitung" in Ihrem Konto einlegen oder sich formlos an uns wenden.

Wir speichern Ihre Daten, solange Ihr Konto besteht. Löschen Sie Ihr Konto, werden Ihre Daten innerhalb von 30 Tagen gelöscht oder anonymisiert. Konten, die zwei Jahre lang nicht genutzt wurden, anonymisieren wir nach vorheriger Ankündigung. Zahlungs- und Rechnungsdaten bewahren wir so lange auf, wie es gesetzliche Aufbewahrungspflichten (insbesondere nach der Abgabenordnung) verlangen; danach werden sie gelöscht. Notizen, die ein Coach zu Ihnen geführt hat, werden gelöscht, sobald die Zusammenarbeit endet. Technische Protokolle (z. B. Fehler- und Sicherheitsprotokolle) speichern wir nur so lange, wie es für Sicherheit und Fehleranalyse erforderlich ist. Einträge der cookielosen Reichweitenmessung löschen wir nach 13 Monaten.

Konto, Abonnement und Zahlungen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Gesundheits- und Ernährungsdaten, KI-Funktionen, Freigabe an Coaches und Push-Benachrichtigungen: Ihre Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO). Betriebssicherheit, Missbrauchsabwehr, Server-Protokolle, Fehlerüberwachung, cookielose Reichweitenmessung und Feedback: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Buchführung und Aufbewahrung von Rechnungsdaten: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO). Die Angabe Ihrer Daten ist für die Nutzung der jeweiligen Funktionen erforderlich; ohne sie können wir diese nicht anbieten.

Für den Betrieb der Plattform sind wir Verantwortlicher. Arbeiten Sie mit einem Coach zusammen, ist dieser für die Betreuung eigenständig verantwortlich und informiert Sie über seine eigene Verarbeitung; wir stellen ihm die Plattform dafür als Auftragsverarbeiter nach Art. 28 DSGVO zur Verfügung. Ihr Coaching-Vertrag besteht mit dem Coach, nicht mit uns. Anfragen zur Betreuung selbst richten Sie am besten direkt an Ihren Coach.

Es findet keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung statt. KI-Funktionen (z. B. Nährwertschätzung, Rezept- und Planvorschläge, Hinweise für Coaches) liefern Vorschläge und Hinweise; Entscheidungen treffen Sie bzw. Ihr Coach.