Datenschutzerklärung für NuTri
Stand: September 2026
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Hendrik Hilpert, Annabergstr. 50, 45470 Mülheim an der Ruhr, E-Mail: info@nu-tri.net
2. Überblick: Welche Daten wir verarbeiten
Je nach Nutzung der App verarbeiten wir folgende Kategorien personenbezogener Daten:
a) Kontodaten: E-Mail-Adresse, Name, Passwort (nur als kryptografischer Hash gespeichert), Rolle, Registrierungsdatum.
b) Profil- und Anamnesedaten: Alter, Geschlecht, Größe, Gewicht, Aktivitätslevel, Gewichtsziel, Ernährungsform, Allergien und Unverträglichkeiten, Medikamente, Essgewohnheiten, Geschmacksprofil, Schweiß-/Hydrationsprofil. Diese Angaben umfassen GESUNDHEITSDATEN im Sinne von Art. 9 DSGVO.
c) Ernährungs- und Symptomdaten: geplante und geloggte Mahlzeiten (inkl. Fotos, sofern hochgeladen), Nährwert- und Mikronährstoffauswertungen, Trinkmengen, Gewichtseinträge, Symptomeinträge (z. B. für den Unverträglichkeits-Detektiv). Auch dies sind teilweise Gesundheitsdaten.
d) Trainingsdaten: Trainingspläne und absolvierte Einheiten, sofern verbunden auch Daten aus Drittdiensten (Strava, TrainingPeaks/Kalender-Feeds), z. B. Sportart, Dauer, Kalorienverbrauch, Herzfrequenz-Kennwerte.
e) Zahlungsdaten: Tarif, Abostatus, Zahlungsreferenzen von PayPal (z. B. Abo- und Transaktions-IDs). Zahlungsmittel-Daten (Konto/Karte) verarbeitet ausschließlich PayPal.
f) Nutzungs- und Protokolldaten: technisch notwendige Server-Logs, Nutzungskontingente der KI-Funktionen (z. B. Anzahl der Analysen), Fehlerberichte.
3. Zwecke und Rechtsgrundlagen
a) Bereitstellung der App, Erstellung von Ernährungsplänen und Auswertungen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
b) Verarbeitung von Gesundheitsdaten (Anamnese, Allergien, Symptome, körperbezogene Werte): ausschließlich auf Grundlage Ihrer AUSDRÜCKLICHEN EINWILLIGUNG nach Art. 9 Abs. 2 lit. a DSGVO, die Sie bei der Registrierung bzw. im Onboarding erteilen. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (z. B. per E-Mail oder durch Löschung des Kontos); ohne diese Daten sind die Kernfunktionen der App nicht nutzbar.
c) Abrechnung und Rechnungsstellung: Art. 6 Abs. 1 lit. b und c DSGVO (gesetzliche Aufbewahrungspflichten).
d) Push-Benachrichtigungen und E-Mails mit Erinnerungen/Zusammenfassungen: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO — jederzeit in den Einstellungen deaktivierbar.
e) Sicherheit, Missbrauchs- und Fehlervermeidung (Logs, Rate-Limits): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
4. KI-Verarbeitung (Anthropic)
Für KI-Funktionen (z. B. Wochenplan-Erstellung, Foto-/Text-Analyse von Mahlzeiten, Coach-Hinweise, Symptom-Hypothesen) übermitteln wir die dafür erforderlichen Inhalte (z. B. Profilangaben ohne Namen, Mahlzeitenbeschreibungen, Mahlzeitenfotos, aggregierte Auswertungen) an Anthropic (Anthropic PBC, USA) als Auftragsverarbeiter. Die Übermittlung in die USA erfolgt auf Grundlage geeigneter Garantien (EU-Standardvertragsklauseln bzw. Zertifizierung nach dem EU-US Data Privacy Framework). Nach Anbieterangaben werden über die API übermittelte Inhalte nicht zum Training der KI-Modelle verwendet. Die KI-Ergebnisse sind Empfehlungen und Auswertungen; es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt. Die Übermittlung an Anthropic erfolgt pseudonymisiert (ohne Namen und E-Mail-Adresse). Anthropic verarbeitet die Inhalte ausschließlich zur Erbringung der KI-Funktion und speichert sie nach Anbieterangaben nur kurzzeitig zu Sicherheitszwecken.
5. Empfänger und Auftragsverarbeiter
a) Hosting: Hostinger International Ltd. (Serverstandort EU) — Betrieb der App und Datenbanken.
b) Anthropic PBC (USA) — KI-Verarbeitung, siehe Ziffer 4.
c) PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) — Zahlungsabwicklung. Es gelten ergänzend die Datenschutzhinweise von PayPal.
d) Strava Inc. (USA) — nur bei aktiv verbundenem Strava-Konto: Wir empfangen Ihre Aktivitätsdaten über die Strava-Schnittstelle auf Grundlage der von Ihnen bei Strava erteilten Freigabe; Sie können die Verbindung jederzeit in der App oder bei Strava trennen.
e) E-Mail-Versand (z. B. Rechnungen, Erinnerungen) über unseren Mail-Anbieter smtp.hostinger.de.
Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Eine Weitergabe zu Werbezwecken findet nicht statt; Daten werden nicht verkauft.
f) Bei Nutzern des ELITE-Tarifs: die ihnen zugewiesene Coachin bzw. der zugewiesene Coach unseres Teams, die zur Vertraulichkeit verpflichtet sind — zur persönlichen Betreuung und Planverfeinerung.
g) Push-Dienste der Browserhersteller (Google, Apple, Mozilla — teilweise USA): Bei aktivierten Push-Benachrichtigungen wird der Nachrichtentext (Titel und Kurztext, keine Gesundheitsdaten) über den Push-Dienst des jeweiligen Browsers zugestellt.
6. Cookies und lokale Speicherung
Die App verwendet ausschließlich technisch notwendige Cookies (insbesondere Session-/Login-Cookies) sowie die lokale Speicherung im Browser (z. B. Anzeigeeinstellungen). Es werden keine Tracking- oder Marketing-Cookies eingesetzt; eine Einwilligung ist hierfür nicht erforderlich (§ 25 Abs. 2 TDDDG).
7. Push-Benachrichtigungen
Bei Aktivierung speichern wir die von Ihrem Browser bereitgestellte Push-Adresse (Subscription). Die Benachrichtigungen können jederzeit in den App-Einstellungen oder im Browser deaktiviert werden; die Subscription wird dann gelöscht.
8. Speicherdauer
Wir speichern personenbezogene Daten, solange Ihr Konto besteht. Nach Kontolöschung werden Ihre Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (insbesondere für Rechnungsdaten: 8 bzw. 10 Jahre nach HGB/AO) entgegenstehen. Server-Logs werden nach kurzer Zeit automatisch gelöscht.
9. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung genügt eine E-Mail an info@nu-tri.net. Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren; zuständig für den Anbieter ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (ldi.nrw.de).
10. Datensicherheit
Die Übertragung erfolgt TLS-verschlüsselt. Passwörter werden ausschließlich als Hash (bcrypt) gespeichert. Der Zugriff auf personenbezogene Daten ist auf das erforderliche Maß beschränkt.
11. Pflicht zur Bereitstellung
Die Bereitstellung der Kontodaten ist für die Nutzung erforderlich. Gesundheitsbezogene Angaben sind freiwillig, jedoch Voraussetzung für die Kernfunktionen (personalisierte Ernährungsplanung).
12. Änderungen dieser Datenschutzerklärung
Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist in der App abrufbar.
