Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Rahmen des Projekts Mealyo ist Enactus Mannheim e. V., P4 9, 68161 Mannheim. Der Vorstand vertritt den Verein nach außen; die jeweils aktuelle Besetzung findest du auf enactus-mannheim.com/impressum.

Direkter Kontakt zum Mealyo-Team: team@mealyo.de

2. Grundsätze

Wir verarbeiten personenbezogene Daten nur im Rahmen der gesetzlichen Vorgaben (insbesondere DSGVO und BDSG) und immer nur, soweit dies für die Bereitstellung unserer Dienste erforderlich ist. Wir geben Daten nicht ohne Rechtsgrundlage an Dritte weiter und speichern sie nicht länger als nötig.

Diese Erklärung beschreibt sowohl die Datenverarbeitung auf der Mealyo-Website (mealyo.de) als auch in der Mealyo-App für iOS und Android.

3. Mindestalter

Mealyo richtet sich an Personen ab 16 Jahren. Wenn du jünger bist, darfst du Mealyo nur mit Zustimmung deiner Erziehungsberechtigten nutzen. Sollten wir Kenntnis davon erlangen, dass wir personenbezogene Daten einer Person unter 16 Jahren ohne diese Zustimmung erhoben haben, löschen wir die Daten umgehend. Wenn du vermutest, dass uns Daten eines Kindes vorliegen, melde dich bitte unter team@mealyo.de.

4. Welche Daten wir verarbeiten

4.1 Account-Daten

Wenn du ein Mealyo-Konto erstellst, verarbeiten wir abhängig von der gewählten Methode folgende Daten: E-Mail-Adresse, Anzeigename, Profilbild (bei Login mit Google oder Apple), Geburtsdatum (sofern von dir angegeben) sowie eine intern generierte Nutzer-ID.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.2 Profil- und Präferenzdaten

Damit Mealyo dir passende Rezepte vorschlagen kann, speichern wir optionale Angaben wie Ernährungsform, Allergien, Abneigungen sowie — sofern aktiviert — Größe, Gewicht, Aktivitätslevel und Ziele. Diese Angaben sind freiwillig und können jederzeit in der App geändert oder gelöscht werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bei Gesundheitsangaben.

4.3 Inhaltsdaten

Inhalte, die du in Mealyo erstellst — Inventar, Einkaufslisten, Wochenpläne, Kochhistorie, eigene Rezepte, Notizen — sind unter deiner Nutzer-ID gespeichert und nur dir bzw. von dir eingeladenen Haushaltsmitgliedern zugänglich.

4.4 Bon-Scans und KI-Verarbeitung

Wenn du einen Kassenbon scannst, wird das Bild auf unsere Server übertragen und dort durch eine KI (siehe Abschnitt 4.4) in einzelne Posten umgewandelt. Wir speichern den Bon nur so lange, wie es für die Verarbeitung erforderlich ist. Die erkannten Artikel landen in deinem Inventar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.5 Technische Nutzungsdaten und Server-Logfiles

Bei jedem Aufruf der Website oder App werden technische Daten verarbeitet, die für den sicheren Betrieb erforderlich sind. Unser Hosting-Anbieter (Google Cloud, Firebase App Hosting, Region europe-west4) protokolliert dabei sogenannte Server-Logfiles, die für einen kurzen Zeitraum gespeichert werden:

• IP-Adresse des anfragenden Geräts (gekürzt bzw. nach kurzer Zeit gelöscht)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Statuscode
• Verwendeter Browser bzw. App-Version (User-Agent)
• Verweisende Seite (Referrer), sofern vorhanden

Diese Logs werden ausschließlich zur Sicherstellung des Betriebs, zur Fehleranalyse und zur Abwehr von Angriffen verwendet. Eine Zusammenführung mit anderen Datenquellen findet nicht statt. Sie werden nach maximal 30 Tagen automatisch gelöscht, sofern wir sie nicht aufgrund eines konkreten Sicherheitsvorfalls länger benötigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb sicherer Dienste).

4.6 Warteliste

Wenn du dich für unsere Warteliste einträgst, speichern wir Name und E-Mail-Adresse in einer Google-Sheets-Tabelle, ausschließlich, um dich zum Launch von Mealyo einmalig zu benachrichtigen. Eine Weitergabe an Dritte findet nicht statt. Du kannst dich jederzeit per Antwort auf unsere Bestätigungsmail wieder austragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5. Eingesetzte Dienste und Auftragsverarbeiter

Wir setzen technische Dienstleister ein, die für uns Daten verarbeiten. Mit allen Anbietern bestehen entweder Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO oder die Verarbeitung erfolgt auf Basis ihrer eigenen Verantwortlichkeit, soweit gesetzlich erforderlich.

5.1 Firebase (Google Ireland Limited)

Wir nutzen mehrere Firebase-Dienste der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland):

• Firebase Authentication für Login (E-Mail/Passwort, Google, Apple)
• Cloud Firestore als Datenbank für deine Mealyo-Inhalte (Hosting in der EU, Region europe-west)
• Firebase Storage für Bilder (z. B. Bon-Scans, eigene Rezeptbilder)
• Firebase Cloud Functions für serverseitige Logik wie Rezeptmatching, Bon-Verarbeitung und Preisabschätzung
• Firebase App Check zum Schutz unserer Backend-APIs vor Missbrauch

Soweit Datenverarbeitung in Drittländer (USA) erfolgen kann, geschieht dies auf Grundlage von Standardvertragsklauseln und ggf. dem EU-US Data Privacy Framework. Datenschutzerklärung von Google: policies.google.com/privacy.

5.2 RevenueCat

Für die Verwaltung von Mealyo-Abonnements nutzen wir RevenueCat, Inc. (USA). Übermittelt werden eine pseudonyme Nutzer-ID sowie Abonnementstatus aus dem App Store / Google Play. RevenueCat verarbeitet keine Zahlungsdaten — diese liegen ausschließlich bei Apple bzw. Google.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung: revenuecat.com/privacy.

5.3 PostHog (Produkt-Analytics)

Wir nutzen PostHog, um zu verstehen, wie Mealyo genutzt wird und wo wir die App verbessern können. Übermittelt werden pseudonymisierte Ereignisdaten (welche Funktion wurde wann genutzt) sowie eine technisch notwendige Geräte-ID. Wir verzichten bewusst auf Cross-App-Tracking und Werbe-IDs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung). Du kannst die Analyse in den App-Einstellungen deaktivieren. Datenschutzerklärung: posthog.com/privacy.

5.4 OpenAI

Für Bon-Erkennung, Rezeptvorschläge und automatische Übersetzungen nutzen wir Modelle der OpenAI, L.L.C. (USA). Wir senden ausschließlich die für die jeweilige Funktion erforderlichen Daten (z. B. den Inhalt eines Bons, den Titel eines Rezepts) — niemals deinen Klarnamen, E-Mail-Adresse oder Profil. Die Anfragen erfolgen über unser Backend mit deaktivierter Trainings-Nutzung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung: openai.com/policies/privacy-policy.

5.5 Google Mobile Ads (AdMob)

In der kostenlosen Version der App können Werbeanzeigen über Google AdMob ausgespielt werden. AdMob verarbeitet hierfür Geräte- und Werbe-IDs. In der iOS-App fragen wir vor jeder Personalisierung dein Tracking-Consent (App Tracking Transparency); auf Android richten sich die Vorgaben nach den Systemeinstellungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. Einwilligung (Art. 6 Abs. 1 lit. a) bei personalisierter Werbung. Datenschutzerklärung: policies.google.com/privacy. Mit einem Mealyo-Pro- oder Family-Abonnement entfallen Werbeanzeigen und damit verbundene Verarbeitungen vollständig.

5.6 Google Sign-In und Sign in with Apple

Wenn du dich mit Google oder Apple anmeldest, erhalten wir ausschließlich die für die Anmeldung notwendigen Informationen (E-Mail-Adresse, ggf. Name). Apple bietet die Möglichkeit, eine Weiterleitungsadresse statt deiner echten E-Mail zu nutzen — das respektieren wir.

5.7 Google Fonts (lokal eingebunden)

Auf der Website verwenden wir die Schriftart „Poppins". Die Schriftart wird über next/font selbst gehostet — es findet keine Live-Verbindung zu Google-Servern beim Aufruf der Seite statt.

5.8 Userjot (Feedback in der App)

In der App verwenden wir Userjot, um Feedback, Fehlerberichte und Feature-Wünsche entgegenzunehmen. Wenn du Feedback abschickst, übermitteln wir den von dir eingegebenen Text sowie eine pseudonyme Nutzer-ID an Userjot. Wir geben keinen Klarnamen und keine E-Mail-Adresse weiter, sofern du sie nicht selbst freiwillig in dein Feedback schreibst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der kontinuierlichen Verbesserung der App). Datenschutzerklärung: userjot.com/privacy.

6. Einsatz von Künstlicher Intelligenz

An mehreren Stellen setzt Mealyo Modelle Künstlicher Intelligenz (KI) ein, um dir bestimmte Funktionen anzubieten. Dazu gehören insbesondere:

• Erkennung von Artikeln auf gescannten Kassenbons und Zuordnung zu unserer Lebensmittel-Datenbank
• Automatische Übersetzungen von Rezepten und App-Inhalten
• Vorschläge für Rezepte, Wochenpläne und Einkaufslisten auf Basis deines Vorrats und deiner Präferenzen
• Strukturierung von Texten, die du selbst eingibst oder per Foto aufnimmst (z. B. eigene Rezepte aus einem Kochbuch)

So funktioniert der Datenfluss: KI-Anfragen laufen immer über unser Backend, niemals direkt aus der App zum KI-Anbieter. Wir senden nur die Inhalte, die für die jeweilige Funktion gebraucht werden — zum Beispiel den Text eines Kassenbons oder den Titel und die Zutaten eines Rezepts. Dein Name, deine E-Mail-Adresse, dein Profil oder andere identifizierende Daten werden dabei nicht übermittelt. Die Antwort der KI kommt zurück über unser Backend und wird in deinem Konto gespeichert.

Wir kennzeichnen KI-gestützte Funktionen in der App. Inhalte, die durch KI erzeugt werden, können fehlerhaft, unvollständig oder veraltet sein (sogenannte „Halluzinationen"). Sie ersetzen keine ernährungswissen- schaftliche oder medizinische Beratung. Bitte prüfe insbesondere Allergie- und Nährwertangaben kritisch, bevor du dich auf sie verlässt.

Wir nutzen deine Eingaben nicht zum Training fremder Modelle und haben die Trainings-Nutzung bei unseren KI-Anbietern vertraglich deaktiviert (siehe Abschnitt 5.4 OpenAI).

7. Übermittlung in Drittländer (insbesondere USA)

Einige der von uns eingesetzten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort (insbesondere OpenAI, RevenueCat, sowie Teile der Google-Dienste). Die USA gelten datenschutzrechtlich nicht ohne weiteres als sicheres Drittland.

Für Übermittlungen in die USA stützen wir uns auf folgende Garantien:

• EU-US Data Privacy Framework (DPF) — die EU- Kommission hat per Angemessenheitsbeschluss festgestellt, dass DPF-zertifizierte US-Unternehmen ein vergleichbares Schutzniveau bieten. Eine Liste zertifizierter Unternehmen findest du unter dataprivacyframework.gov.
• EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO als zusätzliche vertragliche Absicherung.
• Technische und organisatorische Maßnahmen wie Verschlüsselung, Datenminimierung und Pseudonymisierung.

Trotz dieser Garantien kann nicht ausgeschlossen werden, dass US-Behörden auf personenbezogene Daten zugreifen und Betroffenenrechte dort möglicherweise nicht in gleicher Weise durchsetzbar sind.

8. Cookies und Local Storage

Technisch notwendig (ohne Einwilligung): Wir speichern deine Wahl von Light/Dark Mode, die bevorzugte Sprache und deine Cookie-Entscheidung selbst im Local Storage deines Browsers. Diese Daten sind für den Betrieb der Website erforderlich (§ 25 Abs. 2 Nr. 2 TTDSG).

Nur mit deiner Einwilligung: Wenn du im Cookie-Banner auf „Akzeptieren" klickst, laden wir zusätzlich PostHog (siehe 5.3), das Cookies und Local-Storage-Einträge zur pseudonymen Nutzungsanalyse setzt. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TTDSG. Du kannst deine Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Innerhalb der Mobile-App speichern wir Login-Tokens und lokale Caches im geschützten App-Speicher des Betriebssystems.

9. Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen erlaubst, erinnert dich Mealyo beispielsweise an bald ablaufende Lebensmittel oder geplante Mahlzeiten. Du kannst Push-Benachrichtigungen jederzeit in den Systemeinstellungen deines Geräts deaktivieren.

10. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur, solange dein Konto aktiv ist oder gesetzliche Aufbewahrungsfristen dies erfordern. Du kannst dein Konto jederzeit in den App-Einstellungen unter „Konto löschen" eigenständig löschen. Damit werden alle deine Daten — inklusive Inventar, Einkaufslisten, Plänen und eigenen Rezepten — unwiderruflich entfernt.

11. Deine Rechte

Dir stehen nach DSGVO folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung deiner Rechte schreib uns einfach an team@mealyo.de. Wir antworten in der Regel innerhalb weniger Tage.

12. Zuständige Aufsichtsbehörde

Wenn du der Auffassung bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt, kannst du dich bei der für uns zuständigen Datenschutz-Aufsichtsbehörde beschweren:

Unabhängig davon kannst du dich auch an jede andere Datenschutz-Aufsichtsbehörde in der EU wenden, insbesondere an die Behörde in dem EU-Mitgliedstaat, in dem du deinen gewöhnlichen Aufenthalt hast.

13. Datensicherheit

Wir verwenden Transportverschlüsselung (TLS) für alle Verbindungen zwischen App, Website und unseren Servern. Innerhalb von Firebase werden Daten zusätzlich „at rest" verschlüsselt. Zugriffe auf personenbezogene Daten sind innerhalb des Mealyo-Teams auf einen kleinen Kreis von Personen beschränkt, die diese für ihre Aufgabe benötigen.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich an unseren Diensten, eingesetzten Auftragsverarbeitern oder rechtlichen Vorgaben etwas ändert. Die jeweils aktuelle Version findest du immer auf dieser Seite; das Datum oben gibt den Stand der letzten Aktualisierung an.