Datenschutzerklärung

1. Verantwortlicher

VerumVita GbR
Karmarschstraße 46
30159 Hannover
E-Mail: datenschutz@verumvita.de

2. Überblick der Datenverarbeitung

Das VerumVita Ernährungstagebuch ist eine Web-App zur Erfassung und Analyse deines Essverhaltens. Du kannst die App kostenlos und ohne Registrierung nutzen – in diesem Fall werden alle Daten ausschließlich lokal in deinem Browser (localStorage) gespeichert und nicht an unsere Server übertragen.

Erst wenn du dich optional registrierst, werden deine Tagebuchdaten verschlüsselt in unserer Datenbank (gehostet in Frankfurt/Main, EU) gespeichert.

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Verarbeitung deiner Tagebuchdaten zur Bereitstellung der App-Funktionen und ggf. der kostenpflichtigen Auswertung.
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Versand von Newslettern und Marketing-E-Mails (nur nach ausdrücklichem Opt-in, jederzeit widerrufbar).
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse an einem sicheren und stabilen Betrieb: technisch notwendige Cookies, Sicherheitsmaßnahmen und Fehleranalyse. Fehler werten wir in den Protokollen unseres Servers aus. Einen eigenen Dienst zur Fehleranalyse nutzen wir nicht.

4. Welche Daten verarbeiten wir?

4.1 Ohne Registrierung (Offline-Modus)

Ohne Registrierung speichern wir keine personenbezogenen Daten auf unseren Servern. Alle Tagebucheinträge (Mahlzeiten, Sättigungsgrad, Essgeschwindigkeit, Essmotivation) werden ausschließlich lokal in deinem Browser gespeichert.

4.2 Mit Registrierung

Bei Registrierung verarbeiten wir:

• E-Mail-Adresse (für Authentifizierung und Benachrichtigungen)
• User-ID (UUID, pseudonymisiert)
• Tagebucheinträge: Uhrzeit, Mahlzeit, Sättigungsgrad (vorher/nachher), Essgeschwindigkeit, Essmotivation, optionale Notizen
• Einwilligungen (Consent-Datensätze)
• Ggf. Auswertungsaufträge und Zahlungsdaten (via Stripe)

4.3 Pseudonymisierung

Deine Tagebuchdaten werden pseudonymisiert verarbeitet. Intern werden deine Daten nur mit einer UUID verknüpft – ohne E-Mail oder Klarnamen. Unsere Ernährungsfachkräfte, die kostenpflichtige Auswertungen erstellen, sehen ausschließlich diese pseudonymisierten Daten. Die Zuordnung zu deiner E-Mail-Adresse erfolgt erst automatisiert beim Versand des fertigen Reports durch unser System.

4.4 Professionelle Auswertung

Bei kostenpflichtigen Auswertungen erstellt eine qualifizierte Ernährungsfachkraft einen persönlichen Report auf Basis deiner pseudonymisierten Tagebuchdaten. Es findet keine vollautomatische Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.

4.5 Anonymisierung und Datennutzung

Zur Verbesserung unseres Dienstes werden Tagebuchdaten automatisch anonymisiert. Dabei werden:

• Alle personenbezogenen Identifikatoren (User-ID) entfernt
• Uhrzeiten zu Zeitfenstern aggregiert (Morgen/Mittag/Nachmittag/Abend)
• Freitext-Motivationen zu Kategorien abstrahiert

Die so anonymisierten Daten weisen keinen Personenbezug mehr auf und fallen daher nicht unter die DSGVO (Erwägungsgrund 26). Sie können zur Verbesserung unserer Auswertungsqualität genutzt werden. Eine Rückführung auf einzelne Personen ist ausgeschlossen.

5. Hosting und Auftragsverarbeiter

• Hosting (App): Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Self-hosted über Coolify.
• Datenbank & Auth: Supabase Inc., Region Frankfurt (eu-central-1). Auftragsverarbeitungsvertrag (AVV) geschlossen.
• Zahlungen: Stripe Inc. (mit EU-Entität Stripe Payments Europe, Ltd.). Zahlungsdaten werden direkt von Stripe verarbeitet.
• E-Mail: Transaktionale E-Mails (Report-Benachrichtigungen) über Resend oder Postmark. Auftragsverarbeitungsvertrag geschlossen.

6. Cookies und lokaler Speicher

Wir speichern in deinem Browser nur, was die App technisch braucht. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

• Anmeldung: Nach dem Login setzen wir zwei Cookies, sb-access-token und sb-refresh-token. Daran erkennt unser Server, dass du angemeldet bist. Der erste gilt so lange wie ein Zugriffstoken deiner Sitzung, der zweite 30 Tage. Die App setzt beide bei jedem Besuch neu. Deine Sitzung liegt außerdem im lokalen Speicher deines Browsers, bis du dich abmeldest.
• Tagebuch: Deine Einträge liegen im lokalen Speicher deines Browsers. So funktioniert die App auch ohne Registrierung (siehe Abschnitt 2). Bist du angemeldet, gleicht die App diese Kopie mit unserer Datenbank ab. Sie speichert dazu deine User-ID. So weiß sie, zu welchem Konto die Kopie gehört.
• Bedienung: Die App merkt sich, ob du die Anleitung schon gesehen hast. Blendest du einen Hinweis aus, merkt sie sich das, bis du den Tab schließt. Nach einem Update lädt sie die Seite höchstens einmal neu. Auch das merkt sie sich nur bis zum Schließen des Tabs.

Beim Abmelden löschen wir die Cookies, die Sitzung und die Kopie deines Tagebuchs samt User-ID aus deinem Browser. Endet deine Sitzung auf anderem Weg, etwa weil du dich auf einem anderen Gerät abgemeldet hast, bleiben nur Einträge, die noch nicht in deinem Konto gespeichert sind, und mit ihnen deine User-ID. Die Einträge gehen in dein Konto, sobald du dich wieder anmeldest. Meldet sich in diesem Browser jemand mit einem anderen Konto an, löschen wir beides.

Ohne Registrierung bleiben deine Einträge im Browser. Du kannst sie in der App einzeln löschen oder alle auf einmal, indem du die Websitedaten in deinem Browser löschst.

Für Analyse, Werbung oder Tracking speichern wir nichts in deinem Browser. Deshalb gibt es auch keinen Cookie-Banner.

7. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) – Welche Daten wir über dich speichern
• Berichtigung (Art. 16 DSGVO) – Korrektur fehlerhafter Daten
• Löschung (Art. 17 DSGVO) – Vollständige Löschung aller Daten unter „Profil“ → „Account löschen“
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – Export als JSON oder PDF unter „Profil“ → „Daten exportieren“
• Widerspruch (Art. 21 DSGVO)
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) – Jederzeit unter „Profil“ → „Einwilligungen“

Kontakt: datenschutz@verumvita.de

8. Speicherdauer

Deine Daten werden gespeichert, solange dein Account besteht. Nach Löschung werden alle personenbezogenen Daten unwiderruflich entfernt. Anonymisierte Daten bleiben davon unberührt, da sie keinen Personenbezug mehr aufweisen.

Zahlungsdaten werden gemäß den gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) für 10 Jahre aufbewahrt.

9. Datensicherheit

• HTTPS-Verschlüsselung auf allen Verbindungen
• Row Level Security (RLS) auf Datenbankebene
• Pseudonymisierung der Tagebuchdaten
• Regelmäßige Backups
• Input-Validierung und Schutz vor XSS, CSRF und SQL-Injection

10. Beschwerderecht

Die für uns zuständige Aufsichtsbehörde ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
poststelle@lfd.niedersachsen.de