Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Datenverarbeitung bei HabitHelm (habithelm.me, app.habithelm.me und die HabitHelm-Apps für Android und iPhone) ist:

beyond Agentur UG (haftungsbeschränkt)
Geschäftsführer: Kersten Burkhardt
Corveyer Ring 16, 31535 Neustadt am Rübenberge, Deutschland
E-Mail: info@habithelm.me

Weitere Angaben stehen im Impressum.

Kurz zusammengefasst

HabitHelm ist ein Tagebuch für Ernährung, Trinken, Bewegung und Körperwerte. Dafür verarbeiten wir auch Gesundheitsdaten, und zwar nur, damit die App für dich funktioniert.
Wir verkaufen keine Daten, zeigen keine Werbung und setzen keine Tracking- oder Analyse-Tools ein.
Datenbank, Dateien und Hintergrundfunktionen liegen bei Google Cloud in Frankfurt (Region europe-west3).
KI-Funktionen nutzen OpenAI. Dabei geht nur an OpenAI, was die jeweilige Funktion braucht.
Du kannst deine Daten jederzeit exportieren und dein Konto selbst löschen.

Welche Daten wir verarbeiten und wofür

Konto und Anmeldung

Du meldest dich mit Google, mit Apple oder mit E-Mail und Passwort an. Dabei verarbeiten wir deine Nutzer-ID, deine E-Mail-Adresse, den Anzeigenamen und gegebenenfalls das Profilbild des Anmeldeanbieters. Nach der Anmeldung setzen wir ein Sitzungs-Cookie (siehe unten).

Wenn du dich mit E-Mail und Passwort registrierst oder ein neues Passwort anforderst, schicken wir dir eine E-Mail mit einem Bestätigungs- oder Rücksetzlink. Diese E-Mails versenden wir über Brevo; Brevo erhält dafür deine E-Mail-Adresse und den Inhalt der Nachricht. Dein Passwort speichert Firebase nur als Hash; wir sehen es nie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes, für den du dich registriert hast).

Tagebuch, Profil und Gesundheitsdaten

Was du in HabitHelm einträgst, speichern wir in deinem Konto, zum Beispiel:

Mahlzeiten, Lebensmittel, Getränke, Wasser und Alkohol
Geburtsdatum, Größe, Geschlecht und Ziele, um Energiebedarf (BMR/TDEE) und Zielwerte zu berechnen
Körperwerte wie Gewicht, Körperfett, Taillenumfang, Blutdruck, Herzfrequenz und Schlaf
Journaleinträge, Notizen, eigene Lebensmittel und Rezepte samt Fotos
Einstellungen und Benachrichtigungen in der App
Lieblingszutaten, die wir aus deinen Einträgen der letzten 90 Tage zählen, deine Korrekturen daran und Rezepte, die wir dir nicht mehr vorschlagen sollen

Viele dieser Angaben sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Wir verarbeiten sie nur, damit HabitHelm dir deine Werte zeigen, berechnen und auswerten kann.

Rechtsgrundlage: deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit in den Einstellungen unter Datenschutz widerrufen. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Ohne diese Daten lassen sich die Tagebuchfunktionen nicht nutzen.

Lebensmittelsuche und Barcodes

Für die Suche nach Lebensmitteln und Rezepten nutzen unsere Server einen eigenen Suchindex in unserer Datenbank (Google Cloud, Frankfurt) und fragen Open Food Facts ab. An Open Food Facts werden nur der Suchbegriff oder der Barcode übertragen, keine Kontodaten. Der Barcode-Scanner nutzt die Kamera nur auf deinem Gerät; Kamerabilder werden nicht hochgeladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Verbindungen zu Garmin, Strava und Withings

Wenn du eine Verbindung herstellst, holen wir Daten von dort ab, zum Beispiel Aktivitäten, Schritte, Trainingsdauer, Kalorienverbrauch, Herzfrequenz, Gewicht und andere Messwerte. Bei Strava gehören dazu auch die Startkoordinaten einer Aktivität. Die Zugangsschlüssel des Anbieters speichern wir geschützt in deinem Konto.

Schaltest du in den Einstellungen „Gewicht an Strava senden“ ein, tragen wir dein neuestes Gewicht in dein Strava-Profil ein, sonst nichts. Das passiert nur, solange der Schalter an ist. Strava (Strava, Inc.) sitzt in den USA.

Für die Schätzung deines Trinkbedarfs fragen wir mit den Startkoordinaten einer Aktivität das Wetter bei der Google Maps Platform (Weather API) ab. Dabei werden nur Koordinaten und Zeitpunkt übertragen.

Rechtsgrundlage: deine Einwilligung nach Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO, die du beim Verbinden erteilst. Du kannst eine Verbindung jederzeit in den Einstellungen trennen. Für die Daten, die bei Garmin, Strava oder Withings selbst gespeichert sind, gelten deren Datenschutzerklärungen.

Apple Health (iPhone-App)

Wenn du in der iPhone-App Apple Health verbindest, entscheidest du einzeln, was die App lesen und schreiben darf. Wir lesen nur die Arten, die du einschaltest und in iOS erlaubst: Schritte als Tagessumme, Gewicht, Schlaf mit Schlafphasen und Trainings mit aktivem Kalorienverbrauch. Diese Werte speichern wir in deinem Konto, damit sie in Tagebuch, Energiebilanz und Auswertungen erscheinen. Wenn du es einschaltest, schreibt die App die Nährwerte deiner Tagebucheinträge (Energie, Eiweiß, Kohlenhydrate, Fett, gesättigte Fettsäuren, Ballaststoffe, Zucker, Natrium) in Apple Health auf deinem iPhone.

Daten aus Apple Health nutzen wir nur für diese Funktionen. Wir verwenden sie nicht für Werbung, verkaufen sie nicht und geben sie nicht an Dritte weiter. An KI-Funktionen geben wir sie nur, wenn du das in den Apple-Health-Einstellungen ausdrücklich erlaubst. Die App legt keine Gesundheitsdaten in iCloud ab.

Rechtsgrundlage: deine Einwilligung nach Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO, die du vor dem ersten Import in der App erteilst. Du kannst die Verbindung jederzeit trennen, die Berechtigungen in iOS unter Einstellungen › Health entziehen, die übernommenen Daten in HabitHelm löschen und die von HabitHelm in Apple Health gespeicherten Werte löschen. Für Daten, die in Apple Health selbst gespeichert sind, gilt die Datenschutzerklärung von Apple.

Allergien und Unverträglichkeiten

Wenn du in den Einstellungen Allergien (die 14 Hauptallergene nach EU-Recht) oder eine Laktose-Unverträglichkeit hinterlegst, speichern wir diese Auswahl in deinem Konto. Wir nutzen sie nur, um Produkte und Rezepte zu markieren, die laut Open Food Facts diese Stoffe enthalten, und solche Rezepte aus deinen Rezeptvorschlägen herauszunehmen. Wir geben sie nicht an KI-Funktionen und nicht an Dritte weiter.

Rechtsgrundlage: deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO, die du beim ersten Speichern gesondert erteilst. Wenn du sie in den Einstellungen unter Datenschutz widerrufst, löschen wir die gespeicherten Angaben.

KI-Funktionen (OpenAI)

Einige Funktionen nutzen Sprachmodelle von OpenAI: tägliche Auswertungen und Hinweise, das KI-Journal, Hinweise zum Alkoholkonsum, die Hilfe beim Schreiben von Rezepten und Texte beim Einstieg in die App. Dafür senden wir die Angaben, die die jeweilige Funktion braucht, an OpenAI, zum Beispiel Tageswerte, Ziele oder den Rezepttext. E-Mail-Adresse und Nutzer-ID senden wir nicht mit; nur die Texte beim Einstieg nutzen deinen Anzeigenamen. OpenAI verwendet Daten aus der API nach eigenen Angaben nicht zum Training seiner Modelle.

Die Texte der KI sind Vorschläge. Sie treffen keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für dich (Art. 22 DSGVO).

Rechtsgrundlage: für Gesundheitsdaten deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); das KI-Journal fragt dich vor der ersten Nutzung gesondert. Für die Rezept-Hilfe deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), um die der Rezept-Editor vor der ersten KI-Aktion bittet. Du kannst sie unter Einstellungen → Datenschutz widerrufen.

Freunde, Profil und öffentliche Rezepte

Wenn du Freunde hinzufügst, sehen sie deinen Anzeigenamen, dein Profilbild und die Inhalte, die du für sie freigibst. Rezepte, die du öffentlich veröffentlichst, sind für alle sichtbar, auch ohne Anmeldung unter habithelm.me/recipes, und können über Suchmaschinen gefunden werden. Du entscheidest bei jedem Rezept, ob es privat, nur für Freunde oder öffentlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Melden und Blockieren

Du kannst Rezepte und Profile anderer Nutzer melden und Personen blockieren. Zu einer Meldung speichern wir den gemeldeten Inhalt, den Grund, deine Beschreibung, deine Nutzer-ID und den Zeitpunkt. Die Meldung geht samt deiner E-Mail-Adresse per E-Mail (Brevo) an info@habithelm.me, damit wir sie prüfen und dir bei Bedarf antworten können. Die gemeldete Person erfährt nicht, wer gemeldet hat. Blockierte Personen speichern wir in deinem Konto, bis du die Blockierung aufhebst oder dein Konto löschst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Schutz der Nutzer vor rechtswidrigen und missbräuchlichen Inhalten).

Sicherheit und Server-Protokolle

Beim Aufruf von HabitHelm verarbeiten unsere Server technisch nötige Daten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung und, wenn du angemeldet bist, deine Nutzer-ID. Wir nutzen sie, um den Dienst bereitzustellen, Fehler zu finden und Missbrauch abzuwehren. Zum Schutz vor automatisierten Angriffen kann Firebase App Check mit Google reCAPTCHA Enterprise prüfen, ob Anfragen von der echten App kommen. Dabei verarbeitet Google Geräte- und Browserdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

Cookies und lokale Speicherung

Wir setzen nur Cookies, die für den Betrieb nötig sind (§ 25 Abs. 2 Nr. 2 TDDDG). Dafür ist keine Einwilligung erforderlich.

Sitzungs-Cookie („__session“): hält dich angemeldet, bis zu 14 Tage
Schutz-Cookies gegen gefälschte Anfragen (CSRF) und für die Anmeldung bei Garmin, Strava und Withings: nur für die Dauer des Vorgangs
Sprache und einzelne Anzeigeeinstellungen (zum Beispiel „hh_locale“)
Hinweis auf die Android-App („hh_play_banner“): merkt sich bis zu 90 Tage, dass du den Hinweis ausgeblendet hast, oder bis zu ein Jahr, dass du die Android-App nutzt, damit er dort nicht erscheint

Im lokalen Speicher deines Browsers merken wir uns einzelne Anzeigeeinstellungen. Damit dein Tagebuch schneller lädt, behält dein Browser außerdem eine Kopie der zuletzt geöffneten Daten aus deinem Konto, zum Beispiel Tagebuchtage und Einstellungen (Zwischenspeicher von Firebase in der IndexedDB deines Browsers). Sie bleibt auf deinem Gerät und wird gelöscht, wenn du dich abmeldest oder dein Konto löschst. Die iPhone-App hält einen solchen Zwischenspeicher ebenfalls auf dem Gerät. Tracking-, Werbe- oder Analyse-Cookies setzen wir nicht.

Android- und iPhone-App

Die Android-App öffnet app.habithelm.me in deinem Browser (Chrome oder ein anderer kompatibler Browser) und speichert selbst keine Nutzerdaten; es gelten die Angaben in dieser Erklärung. Für die Installation über Google Play oder den App Store gelten zusätzlich die Datenschutzbestimmungen von Google bzw. Apple. Von dort erhalten wir nur zusammengefasste Statistiken, zum Beispiel Installationszahlen und Absturzberichte ohne Bezug zu deinem Konto.

Die iPhone-App meldet Abstürze an Firebase Crashlytics (Google), damit wir Fehler beheben können. Ein Absturzbericht enthält Gerätemodell, Systemversion, App-Version, den technischen Ablauf des Absturzes und eine zufällige Installationskennung, aber weder deine Nutzer-ID noch Inhalte aus deinem Tagebuch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine stabile App.

Dienstleister und Empfänger

Wir geben Daten nur an Dienstleister weiter, die sie in unserem Auftrag verarbeiten (Art. 28 DSGVO), oder an Dienste, die du selbst verbindest:

Google Cloud und Firebase (Google Ireland Limited, Irland): Hosting, Datenbank, Dateien, Anmeldung, Hintergrundfunktionen, App Check, Weather API, Absturzberichte der iPhone-App (Crashlytics). Datenbank, Dateien und Hintergrundfunktionen liegen in Frankfurt.
OpenAI (OpenAI Ireland Ltd., Irland): KI-Funktionen
Brevo (Sendinblue SAS, Frankreich): Versand von E-Mails zu Anmeldung und Passwort sowie von Meldungen an uns
Open Food Facts (Frankreich): Lebensmitteldatenbank, ohne Kontodaten
Garmin, Strava und Withings: nur wenn du die Verbindung herstellst
Google und Apple: nur wenn du dich damit anmeldest

Übermittlung in Drittländer

Google und OpenAI können Daten auch in den USA oder anderen Ländern außerhalb der EU verarbeiten. Grundlage dafür sind der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework, soweit der Anbieter dort zertifiziert ist, und die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer und Löschung

Wir speichern deine Daten, solange du dein Konto hast. Du kannst dein Konto mit allen Daten jederzeit selbst in der App löschen, siehe Konto löschen. Öffentlich veröffentlichte Rezepte bleiben dabei ohne deinen Namen erhalten, außer du wählst, sie mitzulöschen.

Server-Protokolle löschen wir nach spätestens 30 Tagen.
Ein technischer Löschvermerk mit deiner Nutzer-ID wird 30 Tage nach der Kontolöschung entfernt.
Zum Schutz vor Datenverlust sichern wir die Datenbank täglich. Jede Sicherung wird nach 7 Tagen automatisch gelöscht. Gelöschte Daten verschwinden also spätestens 7 Tage nach der Löschung auch aus den Sicherungen.
Daten, die wir aus gesetzlichen Gründen aufbewahren müssen, löschen wir nach Ablauf der Frist.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Einen Export deiner Daten und deine Einwilligungen findest du in der App unter Einstellungen → Datenschutz. Für alles andere schreib an info@habithelm.me.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

Mindestalter

HabitHelm richtet sich an Erwachsene. Du musst mindestens 18 Jahre alt sein, um ein Konto anzulegen.

Medizinischer Hinweis

HabitHelm liefert Informationen und Orientierung, aber keine medizinische Beratung. Bei medizinischen oder ernährungsbezogenen Fragen wende dich an qualifiziertes Fachpersonal.

Änderungen

Wenn sich HabitHelm oder die Rechtslage ändert, passen wir diese Erklärung an. Das Datum oben zeigt den aktuellen Stand.