Datenschutz­erklärung

1. Verantwortlicher

alexliebtsoftwareentwicklung.de
Alex Eifert
Mozartstr. 2
87600 Kaufbeuren
E-Mail: alex@alexliebtsoftwareentwicklung.de
Telefon: +49 176 77614256

2. Überblick der Verarbeitungen

Die folgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

Arten der verarbeiteten Daten

• Bestandsdaten (z. B. Name, E-Mail-Adresse)
• Nutzungsdaten (z. B. besuchte Seiten, Zugriffszeit)
• Kontaktdaten (z. B. E-Mail, Telefon)
• Inhaltsdaten (z. B. eingegebene Rezept-Links, Einkaufslisten)
• Zahlungsdaten (z. B. bei Nutzung von Stripe / Apple Pay / Google Pay)
• Gesundheitsbezogene Daten (z. B. Nährwert-Tracking, Ernährungsziele, Körperdaten)
• Meta-/Kommunikationsdaten (z. B. IP-Adresse, Geräteinformationen)

Betroffene Personen

• Nutzer der VestaAI-App
• Besucher dieser Website (sowie ehemalige Wartelisten-Anmelder aus der Zeit vor dem Launch)

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Basis folgender Rechtsgrundlagen der DSGVO:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — Du hast deine Einwilligung gegeben.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Die Verarbeitung ist zur Vertragserfüllung erforderlich.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich.
• Ausdrückliche Einwilligung in Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO) — für Nährwert- und Körperdaten.

4. Firebase (Google) & Hosting

Wir nutzen die Plattform „Firebase" von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für folgende Dienste:

4.1 Firebase Authentication

Für Registrierung und Anmeldung werden E-Mail-Adresse und Passwort (verschlüsselt) verarbeitet. Optional: Apple Sign-In und Google Sign-In (Name, E-Mail, Profilbild). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

4.2 Cloud Firestore

Deine Rezepte, Einkaufslisten, Ernährungsdaten, Körperdaten und Ernährungsziele werden in Cloud Firestore gespeichert. Die Daten werden auf Servern in Deutschland (europe-west3, Frankfurt am Main) verarbeitet. Rechtsgrundlage: Vertragserfüllung.

4.3 Cloud Functions

Serverseitige Funktionen (z. B. myTime-Suche, Zahlungsabwicklung, Konto-Löschung gem. Art. 17 DSGVO) werden über Firebase Cloud Functions in europe-west3 ausgeführt. Es werden nur die für die jeweilige Funktion notwendigen Daten verarbeitet.

4.4 Cloud Messaging (FCM)

Wir nutzen FCM für Push-Benachrichtigungen (Erinnerungen, Updates). Ohne deine Einwilligung erhältst du keine Push-Mitteilungen.

4.5 Firebase Hosting

Diese Website wird über Firebase Hosting bereitgestellt. Dabei werden IP-Adressen und Zugriffsdaten in Server-Logs erfasst. Rechtsgrundlage: Berechtigte Interessen.

Weitere Informationen: Firebase Datenschutz und Google Datenschutzerklärung.

5. KI-gestützte Analyse

Vesta nutzt ein eigens für Ernährungsberatung entwickeltes KI-System. Die Modell-Inferenz läuft über die Generative Language API (Gemini) der Google Ireland Limited bzw. Google LLC; die Anfragen gehen über unseren eigenen Server-Dienst (Firebase Cloud Functions, Region europe-west3). Die Verarbeitung durch Google kann auch außerhalb der EU, insbesondere in den USA, stattfinden — Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Deine Eingaben werden von Google nicht zum Training der Modelle verwendet.

Verarbeitete Daten: Textbeschreibung des Social-Media-Posts, Foto-Bytes deiner Mahlzeit sowie — beim vollständigen Mahlzeit-Scan, beim Ernährungsplan und im „Frag Vesta"-Chat — die von dir freiwillig hinterlegten Profilangaben (Ernährungsform, Allergien und Unverträglichkeiten, Erkrankungen inkl. aus Blutwerten abgeleiteter Hinweise, Namen und Dosierung aktiver Medikamente, Ernährungsziel wie Schwangerschaft, unerwünschte Lebensmittel; im Chat zusätzlich dein Tagestracking). Der Schnell-Modus der Foto-Analyse überträgt keine Profildaten. Rechtsgrundlage für Gesundheitsdaten: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) durch die freiwillige Eingabe im Profil, jederzeit durch Löschen der Angaben widerrufbar.

Zweck: Automatische Rezept-Extraktion, Foto-Erkennung von Mahlzeiten, personalisierte Ernährungsantworten mit Allergie-Sicherheitsprüfung.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für Gesundheitsdaten zusätzlich deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

Personalisierungs-Daten werden nach 24 Stunden automatisch gelöscht. Es findet kein Training des Modells mit deinen Daten statt.

6. Zahlungsabwicklung (Stripe)

Für die Zahlungsabwicklung bei myTime-Bestellungen nutzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland.

Verarbeitete Daten: Zahlungsinformationen (Kreditkartendaten, SEPA-Lastschrift, Apple Pay, Google Pay) werden direkt von Stripe verarbeitet. Wir erhalten lediglich Bestätigung über den Zahlungsstatus und eine Transaktions-ID.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Stripe Datenschutzerklärung.

7. Premium-Abo (RevenueCat)

Für die Abwicklung des Premium-Abos nutzen wir RevenueCat, Inc., 153 Townsend Street, San Francisco, CA 94107, USA.

Verarbeitete Daten: Anonyme User-ID, Abo-Status, Apple/Google-Receipts.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Drittlandsübermittlung: Es besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO.

RevenueCat Datenschutzerklärung.

8. myTime.de Bestell-Vermittlung

Wenn du über die App bei myTime.de bestellst, werden deine Bestelldaten (Adresse, Artikel, Preise) an die myTime GmbH (Hofer Straße 1, 26340 Zetel) übermittelt. Es gelten zusätzlich die myTime-Datenschutzerklärung sowie die myTime-AGB.

9. Social-Media-Schnittstellen

Zum Importieren von Rezepten werden öffentlich verfügbare Daten über die oEmbed-Schnittstellen von TikTok, Instagram und YouTube serverseitig abgerufen. Verarbeitet wird ausschließlich der von dir bereitgestellte Link. Es werden keine Social-Media-Accounts verknüpft oder Tracking-Cookies gesetzt.

10. Gesundheitsbezogene Daten (Art. 9 DSGVO)

Vesta ermöglicht das Tracking von Nährwerten (Kalorien, Makronährstoffe), Körperdaten (Gewicht, Größe, BMI), Ernährungszielen, Allergien und Medikamenten. Diese Daten gelten als besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO.

Erteilung: Bevor du solche Angaben zum ersten Mal machst, fragen wir dich in der App gesondert und ausdrücklich um deine Einwilligung — über ein Kontrollkästchen, das nicht vorausgewählt ist. Zeitpunkt und Fassung deiner Einwilligung speichern wir, um sie nachweisen zu können (Art. 7 Abs. 1 DSGVO).

Freiwilligkeit: Die Einwilligung ist freiwillig und keine Bedingung für die Nutzung von Vesta. Ohne sie stehen dir Rezepte, Einkaufsliste und Bestellungen unverändert zur Verfügung; es entfallen lediglich die Funktionen, die auf Gesundheitsangaben beruhen — insbesondere Allergie-Warnungen und die persönliche Auswertung.

Widerruf: Du kannst die Einwilligung jederzeit unter Einstellungen → „Daten" widerrufen, ebenso einfach wie du sie erteilt hast (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Rechtsgrundlage: Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

Du kannst Gesundheitsdaten jederzeit in der App löschen oder dein gesamtes Konto entfernen lassen (siehe Abschnitt 13).

10a. Daten-Freigabe für deinen Coach (nur mit Einwilligung)

Du kannst dich in der App optional mit einem Personal Trainer oder einer Ernährungsberaterin / einem Ernährungsberater („Coach") verbinden, indem du dessen persönlichen Coach-Code einlöst. Dabei wählst du selbst und ausdrücklich aus, welche Bereiche dein Coach einsehen darf: Profil & Ziele, Allergien & Ernährungsweise, Ernährungstagebuch, Gewichtsverlauf sowie — nur bei gesonderter Auswahl — Erkrankungen und Medikamente & Blutwerte.

Nicht ausgewählte Bereiche werden deinem Coach zu keinem Zeitpunkt übermittelt; persönliche Notizen, Fotos und deine Chat-Verläufe mit Vesta bleiben immer privat. Die Übermittlung erfolgt ausschließlich serverseitig auf Abruf durch deinen verbundenen Coach und nur im Umfang deiner Freigaben.

Du kannst deine Freigaben jederzeit unter Einstellungen → „Mein Coach" ändern oder die Verbindung vollständig trennen; danach hat der Coach keinerlei Zugriff mehr, und der zugehörige Chat-Verlauf wird gelöscht. Dein Coach ist vertraglich verpflichtet, die erhaltenen Daten vertraulich zu behandeln und ausschließlich zu deiner Betreuung zu verwenden; für die Verarbeitung außerhalb der App ist er selbst verantwortlich.

Rechtsgrundlage: Ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO).

10b. Coach-Partnerprogramm (Empfehlung, Rabatt, Provision)

Coaches können neue Nutzer:innen über ihren Coach-Code zu Vesta empfehlen. Gibst du bei der Anmeldung oder unter Einstellungen → „Mein Coach" einen Coach-Code ein, speichern wir eine Empfehlung: deine Nutzer-ID, den Code bzw. die Coach-ID, den Zeitpunkt und den Weg der Eingabe sowie anschließend den Abo-Status (z. B. Testphase, zahlend, beendet, Rückerstattung) und etwaige Provisionsbuchungen je Zahlung.

Zweck: Abrechnung der Provision mit deinem Coach und Gewährung deines einmaligen Neukund:innen-Rabatts (Art. 6 Abs. 1 lit. b und f DSGVO).

Die Empfehlung enthält keine Gesundheitsdaten. Unabhängig von einer Datenfreigabe nach Abschnitt 10a sieht dein Coach lediglich, dass eine von ihm empfohlene Person Vesta nutzt und ob daraus eine Provision entsteht; deinen Namen erfährt er nur, wenn du dich zusätzlich mit ihm verbunden hast.

Speicherdauer: Eine Empfehlung wird nur einmal (für den zuerst eingegebenen Code) erfasst und mit deinem Konto gelöscht; Provisionsbuchungen werden pseudonymisiert (ohne Namen) wegen steuer- und handelsrechtlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) bis zu zehn Jahre aufbewahrt.

11. Warteliste (vor dem Launch)

Vor der Veröffentlichung von Vesta konntest du dich auf eine Warteliste eintragen. Diese Funktion ist seit dem Launch der App nicht mehr aktiv — eine Anmeldung ist nicht mehr möglich. Falls du dich damals eingetragen hattest, haben wir deine E-Mail-Adresse und optional deinen Vornamen gespeichert, um dich beim Launch zu benachrichtigen. Kamst du über einen Empfehlungs- oder Kampagnen-Link (z. B. von einem Creator), haben wir zusätzlich die darin enthaltene Herkunfts-Kennung (ref-/utm-Parameter) gespeichert.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Speicherdauer: Noch vorhandene Wartelisten-Daten werden spätestens 90 Tage nach dem Launch gelöscht oder — mit deiner erneuten Zustimmung — in deinen App-Account übernommen. Du kannst die Löschung jederzeit verlangen (siehe Abschnitt 13).

11a. Statistik und Werbe-Messung mit Einwilligung

Ohne deine Einwilligung lädt auf dieser Website kein einziger dieser Dienste — auch nicht im Hintergrund. Im Einwilligungs-Banner kannst du zwei Zwecke getrennt entscheiden; du kannst beide annehmen, beide ablehnen oder nur einen auswählen.

Statistik. Google Analytics 4 (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) zeigt uns anonymisiert, welche Seiten gelesen werden und wo Besucher:innen abspringen, damit wir die Seite verbessern können.

Werbung. Für die Messung unserer Anzeigen laden wir Mess-Pixel von Google Ireland Ltd. (Google Ads), Meta Platforms Ireland Ltd. (Meta Pixel), TikTok Technology Ltd. (TikTok Pixel) und OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland (OpenAI-Pixel für Anzeigen in ChatGPT). Diese setzen Cookies bzw. vergleichbare Kennungen, um zu messen, ob du über eine unserer Anzeigen hierher gefunden hast (Conversion-Messung), und um unsere Werbung darauf auszurichten.

Was dabei gemessen wird: ausschließlich der Aufruf einer Seite und der Klick auf einen unserer App-Store-Buttons, jeweils mit der Kennung aus dem Anzeigen-Link. Es werden keine Gesundheitsdaten übermittelt — die auf dieser Website eingegebenen Werte (z. B. im Kaloriendefizit-Rechner) werden ausschließlich in deinem Browser verarbeitet und an keinen dieser Anbieter gesendet. Diese Website enthält keine Formulare; es werden daher auch keine Kontaktdaten an die genannten Anbieter übertragen.

Dabei können Daten in die USA übermittelt werden; die Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert bzw. nutzen EU-Standardvertragsklauseln.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG).

Widerruf: Du kannst deine Entscheidung jederzeit ändern — mit einem Klick, genauso einfach wie die Zustimmung. Beim Widerruf löschen wir auch die von den Anbietern gesetzten Kennungen:

Tracking-Einstellungen ändern

12. Schriften & CDN

Schriften (Poppins) werden lokal von unserem Server ausgeliefert (Self-Hosting); es findet keine Übermittlung an Google statt. Animations-Bibliotheken (GSAP, Lenis) werden über CDN (cdnjs.cloudflare.com, unpkg.com) geladen; dabei wird deine IP-Adresse an den jeweiligen CDN-Anbieter übermittelt. Rechtsgrundlage: berechtigte Interessen (einheitliche, performante Darstellung).

12a. Übersetzung der Website (Google Übersetzer)

Diese Website wird auf Deutsch ausgeliefert. Über den Sprachumschalter im Kopfbereich kannst du sie zusätzlich maschinell übersetzen lassen. Anbieter dieser Übersetzung ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Erst auf deinen Klick: Solange du keine andere Sprache wählst, wird kein Google-Skript geladen und es werden keine Daten an Google übermittelt. Wählst du eine Sprache aus, weisen wir dich vorher ausdrücklich darauf hin und holen deine Bestätigung ein. Danach werden die Inhalte der jeweils aufgerufenen Seite und deine IP-Adresse an Google übermittelt, um die Übersetzung zu erzeugen. Eine Übermittlung in die USA ist dabei nicht ausgeschlossen; Google ist unter dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) beziehungsweise die Erforderlichkeit für den von dir ausdrücklich gewünschten Telemediendienst (§ 25 Abs. 2 Nr. 2 TDDDG). Zur Speicherung deiner Sprachwahl setzt der Dienst das Cookie googtrans auf dieser Domain. Du beendest die Übersetzung jederzeit, indem du im Sprachumschalter wieder „Deutsch" wählst — das Cookie wird dabei gelöscht.

Verbindlich bleibt die deutsche Fassung. Allgemeine Geschäftsbedingungen, Datenschutzerklärung und Impressum sind von der maschinellen Übersetzung ausgenommen und werden ausschließlich auf Deutsch angezeigt. Für die Richtigkeit maschineller Übersetzungen der übrigen Inhalte können wir keine Gewähr übernehmen.

Was wir selbst dabei zählen: Damit wir wissen, welche Sprachen tatsächlich gebraucht werden, zählen wir jede Umschaltung — ausschließlich zusammengefasst. Gespeichert wird pro Kalendertag ein einziger Datensatz mit reinen Zählern: wie oft in welche Sprache gewechselt wurde und welche Browsersprache dabei eingestellt war. In diesem Datensatz werden keine IP-Adresse, keine Kennung, kein Zeitpunkt je Besuch und keine anderen personenbezogenen Daten gespeichert — auch kein Änderungszeitstempel, der sich mit Protokollen verknüpfen ließe; ein Rückschluss auf einzelne Personen ist daraus nicht möglich. Unabhängig davon fällt der Aufruf selbst in die allgemeinen Server-Protokolle nach § 4 dieser Erklärung. Rechtsgrundlage: berechtigte Interessen an einer bedarfsgerechten Sprachauswahl (Art. 6 Abs. 1 lit. f DSGVO). Zusätzlich wird — nur wenn du in die Statistik-Messung eingewilligt hast (§ 11a) — ein Ereignis „language_switch" an Google Analytics gesendet.

13. Deine Rechte

Du hast nach DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — in der App per Tap unter „Konto löschen"
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)
• Beschwerde (Art. 77 DSGVO) bei einer Aufsichtsbehörde, z. B. dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA)

Zur Ausübung deiner Rechte kontaktiere uns unter alex@alexliebtsoftwareentwicklung.de.

14. Speicherdauer

Personalisierungs-Daten für KI-Antworten: 24 Stunden, dann automatisch gelöscht. Account-Daten: für die Dauer des Accounts. Bestelldaten: 10 Jahre (§ 147 AO, § 257 HGB). Sonst: bis zum Wegfall des Zwecks. Bei Konto-Löschung: Entfernung innerhalb von 30 Tagen.

Nutzungs- und Kontingent-Protokolle: Um die kostenlosen Kontingente der App (z. B. die Zahl vollständiger KI-Analysen pro Tag) durchzusetzen und zu bewerten, speichern wir serverseitig Zählerstände sowie — wenn ein Kontingent erreicht wurde — einen Eintrag mit Nutzerkennung, E-Mail-Adresse, Name und Abo-Status. Diese Einträge sind ausschließlich für uns zugänglich, werden nach 90 Tagen automatisch gelöscht und mit der Konto-Löschung sofort entfernt (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

15. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um deine Daten zu schützen:

• Verschlüsselte Datenübertragung (TLS/SSL)
• Firebase Security Rules für Zugriffskontrolle
• Serverseitige Validierung aller Eingaben
• Keine Speicherung von Klartext-Passwörtern
• API-Keys mit Bundle-Restriction (iOS/Android-Cert-Bindung)

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht. Für deinen erneuten Besuch gilt dann die neue Datenschutzerklärung.