Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Rahmen des Projekts Mealyo ist Enactus Mannheim e. V., P4 9, 68161 Mannheim. Der Vorstand vertritt den Verein nach außen; die jeweils aktuelle Besetzung findest du auf enactus-mannheim.com/impressum.

Direkter Kontakt zum Mealyo-Team: team@mealyo.de

2. Grundsätze

Wir verarbeiten personenbezogene Daten nur im Rahmen der gesetzlichen Vorgaben (insbesondere DSGVO und BDSG) und immer nur, soweit dies für die Bereitstellung unserer Dienste erforderlich ist. Wir geben Daten nicht ohne Rechtsgrundlage an Dritte weiter und speichern sie nicht länger als nötig.

Diese Erklärung beschreibt sowohl die Datenverarbeitung auf der Mealyo-Website (mealyo.de) als auch in der Mealyo-App für iOS und Android.

3. Mindestalter

Mealyo richtet sich an Personen ab 16 Jahren. Wenn du jünger bist, darfst du Mealyo nur mit Zustimmung deiner Erziehungsberechtigten nutzen. Sollten wir Kenntnis davon erlangen, dass wir personenbezogene Daten einer Person unter 16 Jahren ohne diese Zustimmung erhoben haben, löschen wir die Daten umgehend. Wenn du vermutest, dass uns Daten eines Kindes vorliegen, melde dich bitte unter team@mealyo.de.

4. Welche Daten wir verarbeiten

4.1 Account-Daten

Wenn du ein Mealyo-Konto erstellst, verarbeiten wir abhängig von der gewählten Methode folgende Daten: E-Mail-Adresse, Anzeigename, Profilbild (bei Login mit Google oder Apple), Geburtsdatum (sofern von dir angegeben) sowie eine intern generierte Nutzer-ID.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.2 Profil- und Präferenzdaten

Damit Mealyo dir passende Rezepte vorschlagen kann, speichern wir optionale Angaben wie Ernährungsform, Allergien, Abneigungen sowie — sofern aktiviert — Größe, Gewicht, Aktivitätslevel und Ziele. Diese Angaben sind freiwillig und können jederzeit in der App geändert oder gelöscht werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bei Gesundheitsangaben.

4.3 Inhaltsdaten

Inhalte, die du in Mealyo erstellst — Inventar, Einkaufslisten, Wochenpläne, Kochhistorie, eigene Rezepte, Notizen — sind unter deiner Nutzer-ID gespeichert und nur dir bzw. von dir eingeladenen Haushaltsmitgliedern zugänglich.

4.4 Bon-Scans und KI-Verarbeitung

Wenn du einen Kassenbon scannst, wird das Bild auf unsere Server übertragen und dort durch eine KI (siehe Abschnitt 5.4) in einzelne Posten umgewandelt. Wir speichern den Bon nur so lange, wie es für die Verarbeitung erforderlich ist. Die erkannten Artikel landen in deinem Inventar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.5 Technische Nutzungsdaten und Server-Logfiles

Bei jedem Aufruf der Website oder App werden technische Daten verarbeitet, die für den sicheren Betrieb erforderlich sind. Unser Hosting-Anbieter (Google Cloud, Firebase App Hosting, Region europe-west4) protokolliert dabei sogenannte Server-Logfiles, die für einen kurzen Zeitraum gespeichert werden:

• IP-Adresse des anfragenden Geräts (gekürzt bzw. nach kurzer Zeit gelöscht)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Statuscode
• Verwendeter Browser bzw. App-Version (User-Agent)
• Verweisende Seite (Referrer), sofern vorhanden

Diese Logs werden ausschließlich zur Sicherstellung des Betriebs, zur Fehleranalyse und zur Abwehr von Angriffen verwendet. Eine Zusammenführung mit anderen Datenquellen findet nicht statt. Sie werden nach maximal 30 Tagen automatisch gelöscht, sofern wir sie nicht aufgrund eines konkreten Sicherheitsvorfalls länger benötigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb sicherer Dienste).

4.6 Warteliste

Wenn du dich für unsere Warteliste einträgst, speichern wir deine E-Mail-Adresse in einer Google-Sheets-Tabelle (Google Ireland Ltd., Verarbeitung über Google Apps Script), ausschließlich, um dich zum Launch von Mealyo einmalig zu benachrichtigen. Eine Weitergabe an Dritte findet nicht statt.

Die Anmeldung läuft im Double-Opt-In: Nach dem Absenden bekommst du eine Bestätigungsmail, und erst dein Klick darin schließt die Anmeldung ab. Ohne diesen Klick schreiben wir dich nicht an. Dieselbe Mail enthält einen Abmeldelink, mit dem du deine Adresse jederzeit und ohne Angabe von Gründen wieder austragen kannst.

Gespeichert werden dabei: E-Mail-Adresse, Zeitpunkt der Anmeldung und der Bestätigung, der angezeigte Einwilligungstext samt Fassung, die gewählte Sprache, die IP-Adresse der Anmeldung und die Browserkennung (User-Agent). Die beiden letzten Angaben dienen allein dem Nachweis der Einwilligung — ohne ihn könnten wir im Streitfall nicht belegen, dass die Anmeldung von dir kam.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für die Nachweisdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweispflicht).

5. Eingesetzte Dienste und Auftragsverarbeiter

Wir setzen technische Dienstleister ein, die für uns Daten verarbeiten. Mit allen Anbietern bestehen entweder Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO oder die Verarbeitung erfolgt auf Basis ihrer eigenen Verantwortlichkeit, soweit gesetzlich erforderlich.

5.1 Firebase (Google Ireland Limited)

Wir nutzen mehrere Firebase-Dienste der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland):

• Firebase Authentication für Login (E-Mail/Passwort, Google, Apple)
• Cloud Firestore als Datenbank für deine Mealyo-Inhalte (Hosting in der EU, Region europe-west)
• Firebase Storage für Bilder (z. B. Bon-Scans, eigene Rezeptbilder)
• Firebase Cloud Functions für serverseitige Logik wie Rezeptmatching, Bon-Verarbeitung und Preisabschätzung
• Firebase App Check zum Schutz unserer Backend-APIs vor Missbrauch (nur in der App, nicht auf dieser Website)
• Firebase Crashlytics für Absturzberichte aus der App: übertragen werden Gerätemodell, Betriebssystemfassung, der Zeitpunkt und die technische Fehlerspur — keine Inhalte deines Kontos
• Firebase Cloud Messaging für Push-Mitteilungen, soweit du sie erlaubt hast; die Kategorien lassen sich im Profil einzeln abschalten

Soweit Datenverarbeitung in Drittländer (USA) erfolgen kann, geschieht dies auf Grundlage von Standardvertragsklauseln und ggf. dem EU-US Data Privacy Framework. Datenschutzerklärung von Google: policies.google.com/privacy.

5.2 RevenueCat

Für die Verwaltung von Mealyo-Abonnements nutzen wir RevenueCat, Inc. (USA). Übermittelt werden eine pseudonyme Nutzer-ID sowie Abonnementstatus aus dem App Store / Google Play. RevenueCat verarbeitet keine Zahlungsdaten — diese liegen ausschließlich bei Apple bzw. Google.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung: revenuecat.com/privacy.

5.3 PostHog (Produkt-Analytics)

Wir nutzen PostHog, um zu verstehen, wie Mealyo genutzt wird und wo wir die App verbessern können. Übermittelt werden pseudonymisierte Ereignisdaten (welche Funktion wurde wann genutzt) sowie eine technisch notwendige Geräte-ID. Wir verzichten bewusst auf Cross-App-Tracking und Werbe-IDs.

Auf dieser Website wird PostHog ausschließlich geladen, wenn du im Cookie-Banner auf „Akzeptieren" geklickt hast. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; du kannst sie unten in Abschnitt 8 jederzeit mit Wirkung für die Zukunft widerrufen. Ohne Einwilligung wird kein Skript geladen, kein Cookie gesetzt und kein Ereignis übertragen.

In der App wird die Analyse derzeit beim Start aktiviert. Eine Einwilligungsabfrage in der App ist in Arbeit und kommt vor der Veröffentlichung in den App-Stores; bis dahin kannst du der Analyse formlos per E-Mail widersprechen, dann löschen wir die zu dir gespeicherten Ereignisdaten.

Anbieter ist PostHog Inc., USA; die Daten dieser Website laufen über die EU-Instanz (eu.i.posthog.com), und die IP-Adresse wird dabei nicht gespeichert. Datenschutzerklärung: posthog.com/privacy.

5.4 OpenAI

Für Bon-Erkennung, Rezeptvorschläge und automatische Übersetzungen nutzen wir Modelle der OpenAI, L.L.C. (USA). Wir senden ausschließlich die für die jeweilige Funktion erforderlichen Daten (z. B. den Inhalt eines Bons, den Titel eines Rezepts) — niemals deinen Klarnamen, E-Mail-Adresse oder Profil. Die Anfragen erfolgen über unser Backend mit deaktivierter Trainings-Nutzung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung: openai.com/policies/privacy-policy.

5.4a Anthropic (Claude)

Der Assistent in der App („Mealyo-Agent") und einzelne Auswertungsschritte laufen über Modelle der Anthropic PBC (USA). Dabei wird der für die Anfrage nötige Ausschnitt deines Profils mitgeschickt — insbesondere Ernährungsweise, Allergien und Abneigungen, dazu dein Vorratsbestand und der Text deiner Frage. Ohne diese Angaben könnte der Assistent keine Vorschläge machen, die zu dir passen; sie werden ausschließlich für die jeweilige Antwort verwendet und nicht zum Training fremder Modelle.

Angaben zu Allergien können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Ihre Verarbeitung stützen wir auf deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du bei der Eingabe im Ernährungsprofil erteilst — du kannst die Angaben jederzeit im Profil löschen, dann werden sie auch nicht mehr übermittelt. Rechtsgrundlage im Übrigen: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Datenschutzerklärung: anthropic.com/legal/privacy.

5.5 Google Mobile Ads (AdMob)

In der kostenlosen Version der App können Werbeanzeigen über Google AdMob ausgespielt werden. AdMob verarbeitet hierfür Geräte- und Werbe-IDs. In der iOS-App fragen wir vor jeder Personalisierung dein Tracking-Consent (App Tracking Transparency); auf Android richten sich die Vorgaben nach den Systemeinstellungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. Einwilligung (Art. 6 Abs. 1 lit. a) bei personalisierter Werbung. Datenschutzerklärung: policies.google.com/privacy. Mit einem Mealyo-Pro- oder Family-Abonnement entfallen Werbeanzeigen und damit verbundene Verarbeitungen vollständig.

5.6 Google Sign-In und Sign in with Apple

Wenn du dich mit Google oder Apple anmeldest, erhalten wir ausschließlich die für die Anmeldung notwendigen Informationen (E-Mail-Adresse, ggf. Name). Apple bietet die Möglichkeit, eine Weiterleitungsadresse statt deiner echten E-Mail zu nutzen — das respektieren wir.

5.7 Google Fonts (lokal eingebunden)

Auf der Website verwenden wir die Schriftart „Poppins". Die Schriftart wird über next/font selbst gehostet — es findet keine Live-Verbindung zu Google-Servern beim Aufruf der Seite statt.

5.8 Userjot (Feedback in der App)

In der App verwenden wir Userjot, um Feedback, Fehlerberichte und Feature-Wünsche entgegenzunehmen. Wenn du Feedback abschickst, übermitteln wir den von dir eingegebenen Text sowie eine pseudonyme Nutzer-ID an Userjot. Wir geben keinen Klarnamen und keine E-Mail-Adresse weiter, sofern du sie nicht selbst freiwillig in dein Feedback schreibst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der kontinuierlichen Verbesserung der App). Datenschutzerklärung: userjot.com/privacy.

6. Einsatz von Künstlicher Intelligenz

An mehreren Stellen setzt Mealyo Modelle Künstlicher Intelligenz (KI) ein, um dir bestimmte Funktionen anzubieten. Dazu gehören insbesondere:

• Erkennung von Artikeln auf gescannten Kassenbons und Zuordnung zu unserer Lebensmittel-Datenbank
• Automatische Übersetzungen von Rezepten und App-Inhalten
• Vorschläge für Rezepte, Wochenpläne und Einkaufslisten auf Basis deines Vorrats und deiner Präferenzen
• Strukturierung von Texten, die du selbst eingibst oder per Foto aufnimmst (z. B. eigene Rezepte aus einem Kochbuch)

So funktioniert der Datenfluss: KI-Anfragen laufen immer über unser Backend, niemals direkt aus der App zum KI-Anbieter. Wir senden nur die Inhalte, die für die jeweilige Funktion gebraucht werden — zum Beispiel den Text eines Kassenbons oder den Titel und die Zutaten eines Rezepts. Dein Name, deine E-Mail-Adresse, dein Profil oder andere identifizierende Daten werden dabei nicht übermittelt. Die Antwort der KI kommt zurück über unser Backend und wird in deinem Konto gespeichert.

Wir kennzeichnen KI-gestützte Funktionen in der App. Inhalte, die durch KI erzeugt werden, können fehlerhaft, unvollständig oder veraltet sein (sogenannte „Halluzinationen"). Sie ersetzen keine ernährungswissen- schaftliche oder medizinische Beratung. Bitte prüfe insbesondere Allergie- und Nährwertangaben kritisch, bevor du dich auf sie verlässt.

Wir nutzen deine Eingaben nicht zum Training fremder Modelle und haben die Trainings-Nutzung bei unseren KI-Anbietern vertraglich deaktiviert (siehe Abschnitt 5.4 OpenAI).

7. Übermittlung in Drittländer (insbesondere USA)

Einige der von uns eingesetzten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort (insbesondere OpenAI, Anthropic, PostHog, RevenueCat sowie Teile der Google-Dienste). Die USA gelten datenschutzrechtlich nicht ohne weiteres als sicheres Drittland.

Für Übermittlungen in die USA stützen wir uns auf folgende Garantien:

• EU-US Data Privacy Framework (DPF) — die EU- Kommission hat per Angemessenheitsbeschluss festgestellt, dass DPF-zertifizierte US-Unternehmen ein vergleichbares Schutzniveau bieten. Eine Liste zertifizierter Unternehmen findest du unter dataprivacyframework.gov.
• EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO als zusätzliche vertragliche Absicherung.
• Technische und organisatorische Maßnahmen wie Verschlüsselung, Datenminimierung und Pseudonymisierung.

Trotz dieser Garantien kann nicht ausgeschlossen werden, dass US-Behörden auf personenbezogene Daten zugreifen und Betroffenenrechte dort möglicherweise nicht in gleicher Weise durchsetzbar sind.

8. Cookies und Local Storage

Technisch notwendig (ohne Einwilligung): Im Speicher deines Browsers liegen deine Wahl von Light/Dark Mode, deine Cookie-Entscheidung selbst und — solange du zwischen Rezepten hin- und herblätterst — die Seite, zu der der Zurück-Weg führt. Die Sprache wird nicht gespeichert; sie steht in der Adresse der Seite. Dazu setzt der Server ein Cookie NEXT_LOCALE, damit die Startseite in der zuletzt gewählten Sprache öffnet. Alles davon ist für den Betrieb der Website erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Nur mit deiner Einwilligung: Wenn du im Cookie-Banner auf „Akzeptieren" klickst, laden wir zusätzlich PostHog (siehe 5.3), das Cookies und Local-Storage-Einträge zur pseudonymen Nutzungsanalyse setzt. Im selben Zuge testen wir gelegentlich zwei Fassungen einer Überschrift gegeneinander und merken uns dafür, welche du gesehen hast — auch dieser Eintrag entsteht erst nach deiner Einwilligung und verschwindet, sobald du sie widerrufst. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Innerhalb der Mobile-App speichern wir Login-Tokens und lokale Caches im geschützten App-Speicher des Betriebssystems.

9. Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen erlaubst, erinnert dich Mealyo beispielsweise an bald ablaufende Lebensmittel oder geplante Mahlzeiten. Du kannst Push-Benachrichtigungen jederzeit in den Systemeinstellungen deines Geräts deaktivieren.

10. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur, solange dein Konto aktiv ist oder gesetzliche Aufbewahrungsfristen dies erfordern. Du kannst dein Konto jederzeit in den App-Einstellungen unter „Konto löschen" eigenständig löschen. Damit werden alle deine Daten — inklusive Inventar, Einkaufslisten, Plänen und eigenen Rezepten — unwiderruflich entfernt.

11. Deine Rechte

Dir stehen nach DSGVO folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung deiner Rechte schreib uns einfach an team@mealyo.de. Wir antworten in der Regel innerhalb weniger Tage.

12. Zuständige Aufsichtsbehörde

Wenn du der Auffassung bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt, kannst du dich bei der für uns zuständigen Datenschutz-Aufsichtsbehörde beschweren:

Unabhängig davon kannst du dich auch an jede andere Datenschutz-Aufsichtsbehörde in der EU wenden, insbesondere an die Behörde in dem EU-Mitgliedstaat, in dem du deinen gewöhnlichen Aufenthalt hast.

13. Datensicherheit

Wir verwenden Transportverschlüsselung (TLS) für alle Verbindungen zwischen App, Website und unseren Servern. Innerhalb von Firebase werden Daten zusätzlich „at rest" verschlüsselt. Zugriffe auf personenbezogene Daten sind innerhalb des Mealyo-Teams auf einen kleinen Kreis von Personen beschränkt, die diese für ihre Aufgabe benötigen.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich an unseren Diensten, eingesetzten Auftragsverarbeitern oder rechtlichen Vorgaben etwas ändert. Die jeweils aktuelle Version findest du immer auf dieser Seite; das Datum oben gibt den Stand der letzten Aktualisierung an.