Datenschutzerklärung

• Deine Gesundheits- und Trainingsdaten liegen in einer Datenbank bei Supabase (EU-Region, Irland).
• Wenn du den KI-Coach nutzt, werden deine Fragen samt relevanter Gesundheitsdaten an Mistral AI (Paris, EU) geschickt, ohne deinen Klarnamen und ohne Nutzer-Kennung. Was du selbst in den Chat schreibst, geht unverändert mit. Mistral speichert deine Anfragen nicht über die Antwort hinaus und trainiert keine Modelle damit (Zero Data Retention). Wir speichern deine Coach-Gespräche nicht auf unseren Servern; der Verlauf liegt nur auf deinem Gerät bis zum Schließen der App.
• Beim Planimport (Pro) liest dein Gerät PDF- oder Bilddateien lokal. Die Originaldatei wird nicht hochgeladen. Der daraus erkannte Text geht über unseren Server an Mistral AI (EU), damit Trainingstage und Übungen erkannt werden. Persönliche Angaben im erkannten Text können dabei mitübermittelt werden. Du prüfst die Angaben und speicherst den fertigen Plan selbst (Abschnitt 9).
• Werte aus Apple Health, Health Connect oder einem Wearable gehen standardmäßig nicht an die KI. Nur wenn du unter Einstellungen → Datenschutz die eigene Freigabe „Apple Health & Wearables für die KI“ erteilst, übermitteln KI-Coach, Schlaf-Coach und die KI-Berichte sie an Mistral AI (EU): Schlaf mit Schlafphasen, Herzfrequenzvariabilität, Herzfrequenz und Ruhepuls, Schritte, Körpergewicht und Körpermaße sowie importierte Trainings. Du kannst die Freigabe dort jederzeit widerrufen (Abschnitt 9).
• Trainierst du mit der Uhr-App (Wear OS oder Apple Watch), misst die Uhr je nach Sportart Puls, Kalorien, Strecke und Höhenmeter, beim Schwimmen auch Züge und Bahnen. Sie schickt das direkt an dein Telefon, nicht über unsere Server. Dein Telefon speichert das Training in deinem Konto, bei Lauf, Rad und Schwimmen mit diesen Messwerten. An die KI gehen davon nur Art, Dauer, Sätze und Muskelgruppen, keine Messwerte (Abschnitt 4).
• Nur wenn du „Session-Aufzeichnung“ ausdrücklich erlaubst, zeichnet Sentry (EU, Deutschland) dein Bildschirmgeschehen maskiert auf, 10% der Sitzungen, 100% bei Fehlern, Texte, Eingaben und Medien werden unkenntlich gemacht. Ohne Einwilligung passiert das nicht.
• Unabhängig davon misst Sentry (EU) bei 20% der Seitenaufrufe, wie lange Laden und Abläufe dauern. Seitenadressen gehen gekürzt mit, Kennungen darin werden durch Platzhalter ersetzt; dein Konto erscheint nur als pseudonyme Kennung, nicht mit Namen oder E-Mail-Adresse. Eine Bildschirmaufnahme ist das nicht (Abschnitt 4).
• Wir messen, an welcher Stelle die App klemmt, welcher Onboarding-Schritt abgebrochen wird, welche Erklärtour weggetippt wird. Das läuft ausschließlich auf unseren eigenen Servern: kein Analyse-Dienst, kein Wiedererkennen über andere Seiten hinweg. Gespeichert werden nur feste Kennungen aus dem Programmcode und Zählwerte, auf die Minute genau, Gewichte, Kalorien, Messwerte und alles selbst Getippte sind serverseitig ausgeschlossen. Externe Produktanalyse gibt es nicht: PostHog und Microsoft Clarity standen bis zum 23. August 2026 hier, beide sind entfernt worden, weil sie nie einen Wert übertragen haben. Das gilt für die App und den angemeldeten Bereich. Auf den öffentlichen Seiten von getfluxio.de läuft Microsoft Clarity nur, wenn du im Cookie-Banner „Statistik“ erlaubst (Teil B, Abschnitt W4).
• E-Mails (z.B. Berichte) verschickt Resend (USA), Käufe im App Store (Abo, einzelne Coaches, Extra-Züge der Coach-Ziehung und Gutscheine) und Abo-Käufe auf der Webseite verarbeitet RevenueCat (USA), beide mit EU-Standardvertragsklauseln.
• Schreibst du an support@getfluxio.de, nimmt Google (USA) die Mail an und leitet sie an Resend (USA) weiter, von dort geht sie in unser Support-System. Im Hilfe-Chat der App kann ein Mensch aus dem Team das Gespräch vom Assistenten übernehmen; der Wechsel steht im Verlauf. Das Team sieht dabei Name, E-Mail, Abo-Stand und an welchen der letzten 30 Tage du die App geöffnet oder trainiert hast, keine Gesundheits-, Körper- oder Schlafwerte.
• Kaufst du Pro auf der Webseite, bezahlst du über Stripe (Irland, mit Übermittlung in die USA). Deine Kartendaten tippst du ausschließlich in Felder, die Stripe selbst ausliefert, weder wir noch RevenueCat bekommen sie zu sehen. Der Bezahlvorgang schickt keine Nutzungsstatistik an RevenueCat. Kaufst du in der iPhone-App, wickelt Apple die Zahlung ab.
• Findet keine Lebensmitteldatenbank ein von dir gesuchtes Produkt, schätzt die KI die Nährwerte. Diese Schätzung wird zusammen mit dem von dir getippten Namen global gespeichert, ohne Bezug zu deinem Konto, und kann unter den Bedingungen in Abschnitt 10 für alle Nutzer in der Lebensmittelsuche sichtbar werden. Tippe in dieses Suchfeld also keine privaten Angaben.
• Suchst du im Rezeptbereich, geht dein Suchbegriff an die externe Rezeptdatenbank Spoonacular (USA), ohne Bezug zu deinem Konto, aber die Suche selbst verlässt die EU.
• Eigene Rezepte bleiben privat, bis du „Mit allen teilen“ anhakst. Geteilte Rezepte sieht jeder, auch ohne Anmeldung: Titel, Bild, Beschreibung, Zutaten, Schritte und Nährwerte. Dein Name steht nicht dabei, wohl aber eine zufällige Konto-Kennung, über die sich deine geteilten Rezepte einander zuordnen lassen. Titelbilder kann jeder abrufen, der ihre Adresse kennt, auch die privater Rezepte. Standortangaben im Foto entfernt die App seit dem 3. Oktober 2026 beim Hochladen (Abschnitt 4).
• Erlaubst du Benachrichtigungen, sieht der Push-Dienst deines Geräts sie mit: bei iPhone und iPad (Apple) und in der Android-App (Google) im Klartext, im Browser verschlüsselt.
• Diktierst du etwas (Sprach-Tracking, Suche, Trainingsplan, Coach, Kochmodus), wandelt dein Gerät die Sprache selbst in Text um: In der iPhone- und Android-App verlässt die Tonaufnahme das Gerät nicht. Nur im Browser übernimmt das der Sprachdienst deines Browser-Herstellers. Bei uns kommt nur der erkannte Text an, nie die Aufnahme (Abschnitt 4c).
• Du kannst jederzeit alles exportieren oder dein Konto löschen, direkt in der App, ohne uns fragen zu müssen. Gelöscht wird aber nicht sofort: Mit dem Antrag meldet die App dich auf allen Geräten ab, deine Daten bleiben noch 30 Tage gespeichert und werden danach endgültig gelöscht. Bis dahin kannst du die Löschung abbrechen, indem du dich wieder anmeldest. Exportieren oder Rezepte löschen kannst du nach dem Antrag erst wieder, wenn du abbrichst, erledige das deshalb vorher (Abschnitt 6). Ausnahme: Geteilte Rezepte löscht die Konto-Löschung nicht, sie bleiben sichtbar, getrennt von deinem Konto und ohne die Titelbilder, die du hochgeladen hast (Abschnitt 4).

Die Details mit Rechtsgrundlagen stehen in den Abschnitten unten. Diese Zusammenfassung ersetzt sie nicht, verschweigt aber auch nichts.

Jonathan Scheele
E-Mail: datenschutz@getfluxio.de
Vollständige Kontaktdaten: siehe Impressum

Art. 9-Daten = besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (Gesundheitsdaten).

Mistral AI (Paris) berechnet KI-Antworten in Rechenzentren in der EU bzw. im EWR und speichert Anfragen nicht über die Antwort hinaus. Sentry Session Replay wird nur nach ausdrücklicher Einwilligung geladen.

Auftragsverarbeitungsverträge: Mit den Anbietern, die in unserem Auftrag arbeiten (Supabase, Vercel, Mistral, Sentry, RevenueCat, Stripe, Resend, Langfuse), bestehen Verträge nach Art. 28 DSGVO. Nicht alle Empfänger sind Auftragsverarbeiter: Spotify und Apple, auch bei Käufen im App Store, handeln als eigene Verantwortliche, Stripe für Betrugsprüfung und gesetzliche Pflichten ebenfalls. Für Nachschlagedienste, die wir nur abfragen, gibt es keinen Vertrag nach Art. 28, das sind Open Food Facts, USDA, FoodRepo und Have I Been Pwned sowie die externe Rezeptdatenbank Spoonacular (USA). Dorthin gehen ausschließlich Angaben ohne Bezug zu deinem Konto: ein Suchbegriff, ein Barcode, ein Hash-Anfang.

Bilder von fremden Servern: Rezeptfotos und Album-Cover liegen auf fremden Bild-Servern. Damit dein Gerät diese Server nicht selbst anfragen muss, und ihnen dabei deine IP-Adresse und das gerade angesehene Rezept verrät, holt unser Server die Bilder und liefert sie von unserer eigenen Adresse aus. Für die Bild-Anbieter sind wir damit der Abrufende, nicht du.

Fehlertracking und Leistungsmessung (Sentry): Tritt in der App ein Fehler auf, geht ein Fehlerbericht an Sentry (EU-Instanz, Deutschland). Zusätzlich misst die App im Browser bzw. auf dem Telefon bei 20% der Seitenaufrufe und Seitenwechsel, wie lange Laden und Abläufe dauern, einschließlich der Anfragen, die sie dabei stellt. Mit geht dabei die Seitenadresse ohne Suchparameter und Fragment; Kennungen im Pfad ersetzt die App vorher durch Platzhalter. Dazu kommen Plattform (iOS, Android oder Browser), Betriebssystem- und App-Version. Dein Konto erscheint in Fehlerberichten und Messungen nur als pseudonyme Kennung, einem Hashwert deiner Konto-Kennung, kein Name, keine E-Mail-Adresse, und die App schickt deine IP-Adresse nicht mit. Eine Bildschirmaufnahme entsteht dabei nicht; die gibt es nur mit der Einwilligung „Session-Aufzeichnung“. Unsere Server messen keine Leistung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Stabilität und Ladezeiten). Aufbewahrung bei Sentry: 90 Tage.

Standortdaten: Die Urlaubs-Erkennung ist ein Opt-in-Feature. Zonen-Koordinaten werden nur gespeichert, wenn du in einem Trainings-Profil ausdrücklich „Standort speichern“ wählst; sie dienen ausschließlich dem lokalen Distanzvergleich und werden an keine Dritten übermittelt. Ohne die unten beschriebene Zonen-Erkennung wird die aktuelle Geräteposition für den Vergleich nur auf dem Gerät verwendet und nicht gespeichert. Löschung: mit dem Profil („Entfernen“-Button) oder automatisch bei Konto-Löschung.

Automatische Zonen-Erkennung: Getrennt einzuschalten unter Einstellungen → Trainings-Zonen, standardmäßig aus. Ist sie aktiv, misst die App während einer laufenden Trainingseinheit in Abständen deine Position, um zu bestimmen, wo du tatsächlich trainiert hast, das erspart dir, den Ort jeder Zone von Hand zu setzen. Gespeichert wird davon ein einziger Punkt je Trainingseinheit: der Ort, an dem du am längsten warst, mit Verweildauer und Zeitpunkt. Die einzelnen Messpunkte verlassen dein Gerät nicht und werden nach der Auswertung gelöscht; ein Bewegungsprofil entsteht nicht. Außerhalb einer Trainingseinheit wird nichts gemessen, im Hintergrund oder bei geschlossener App ebenfalls nicht. Da eine solche Beobachtung zugleich aussagt, dass du dort trainiert hast, behandeln wir sie als Gesundheitsdatum nach Art. 9 DSGVO. Aufbewahrung: 180 Tage, danach automatische Löschung. Widerruf: Schalter ausschalten, dabei werden alle erkannten Standorte und die daraus gelernten Zonen-Orte sofort gelöscht. Einzelne Zonen kannst du jederzeit über „Zurücksetzen“ bereinigen.

Health Connect auf Android: Wenn du Health Connect in Fluxio verbindest, liest die Android-App die von dir freigegebenen Schritte, aktive Kalorien, Distanz, Ruhepuls, Herzfrequenzvariabilität (RMSSD), Sauerstoffsättigung, Atemfrequenz sowie Schlafdauer und verfügbare Schlafphasen. Die Daten gelangen von einer kompatiblen Uhr über deren Hersteller-App in Health Connect auf deinem Telefon. Die Hersteller-App benötigt dafür eine eigene Schreibfreigabe; Fluxio erhält ausschließlich die von dir erteilten Leserechte. Fluxio fragt diese Daten nur bei geöffneter App ab und schreibt keine Daten nach Health Connect. Die dafür eingebundene AndroidX-Bibliothek von Google greift auf den Gesundheitsspeicher des Geräts zu; Fluxio übermittelt über diese Bibliothek keine Messwerte an Google. Für die Verarbeitung durch die jeweilige Hersteller-App gelten deren eigene Datenschutzhinweise. Die abgefragten Werte liegen im lokalen, deinem Konto zugeordneten App-Speicher; übernommene Schlafnächte, Schritte für deine Ziele und aktive Kalorien werden wie die entsprechenden Gesundheitsdaten in deinem Fluxio-Konto bei Supabase (EU-Region) gespeichert. Die lokale Tageskopie wird spätestens nach einer Stunde nicht mehr als aktueller Messwert verwendet. Du kannst Datenarten einzeln in Health Connect freigeben oder entziehen und die Verbindung in Fluxio trennen; dabei wird der lokale Health-Connect-Tagescache gelöscht und Fluxio versucht zusätzlich, seine Lesefreigaben im System zu widerrufen. Bereits in dein Konto übernommene Einträge bleiben bis zu ihrer Löschung beziehungsweise der Kontolöschung erhalten. Die Werte tragen ihre Herkunft aus Health Connect; die optionale Weitergabe an die KI setzt dieselbe gesonderte Einwilligung wie bei Apple Health und Wearables voraus (Abschnitt 9). Rechtsgrundlage der Verarbeitung ist deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Radfahren mit der Wear-OS-Uhr: Startest du auf einer Wear-OS-Uhr eine Radeinheit und hast der Fluxio-Uhr-App den Standortzugriff erlaubt, schaltet die Uhr für diese Einheit ihr GPS ein, solange die Einheit läuft, auch bei dunklem Display, danach wieder aus. Die Positionen wertet allein das System der Uhr (Health Services) aus und macht daraus Strecke und Tempo. Die Fluxio-App selbst fragt keine Positionen ab, speichert keine und überträgt keine, weder ans Telefon noch an unseren Server; eine Route entsteht bei uns nicht. Ans Telefon und von dort in dein Konto geht nur das Ergebnis: die gefahrene Strecke in Metern, zusammen mit den übrigen Messwerten der Einheit. Beim Laufen, Schwimmen und Krafttraining schaltet die Uhr-App kein GPS ein. Der Standortzugriff ist freiwillig; ohne ihn fehlt beim Radfahren meist die Strecke, alles andere funktioniert. Widerruf: in den Einstellungen der Uhr unter Apps → Fluxio → Berechtigungen.

Training mit der Uhr (Wear OS und Apple Watch): Startest du ein Training auf der Uhr, misst sie mit ihren eigenen Sensoren. Die Wear-OS-Uhr erfasst Puls, Kalorien und Strecke, beim Laufen zusätzlich Schrittfrequenz und Höhenmeter, beim Radfahren Höhenmeter, im Becken Züge und Bahnen; sie schreibt nichts nach Health Connect. Die Apple Watch erfasst Puls, aktive Kalorien, Strecke und Höhenmeter, beim Schwimmen Züge und Bahnen, und legt das fertige Training in Apple Health ab. Uhr und Telefon sprechen direkt miteinander, Wear OS über die Wearable Data Layer der Google-Play-Dienste, die Apple Watch über WatchConnectivity, nicht über unsere Server. Während des Trainings schickt die Uhr Puls, Kalorien, Strecke und Dauer ans Telefon; angezeigt werden sie dort (auch in der Live-Aktivität) nur, wenn Apple Health verbunden ist bzw. du der Wear-OS-Uhr die Sensor-Berechtigung erteilt hast. Die Schrittfrequenz verlässt die Wear-OS-Uhr nicht. Am Ende geht eine Zusammenfassung ans Telefon: Art, Dauer und Sätze, außer beim Krafttraining auch Ø- und Maximalpuls, aktive Kalorien, Strecke und Höhenmeter, beim Schwimmen Züge, Bahnen, Beckenlänge und Lage. Dein Telefon speichert sie in deinem Konto, die Kalorien zusätzlich im Kalorienprotokoll, auch ohne verbundenes Apple Health. Das iPhone behält den letzten Stand außerdem lokal. Ohne Verbindung halten Uhr und Telefon die Daten zurück, bis die Übertragung bestätigt ist. Daneben meldet die Uhr Trainings- und Recovery-Starts und einzelne Sätze ans Telefon; auf der Apple Watch als gekocht markierte Rezepte werden zur Mahlzeit. In die andere Richtung schickt das Telefon der Uhr deinen Plan, Schwimmvorgaben und Rezepte. Ruhepuls, Herzfrequenzvariabilität und Schlaf liest die Apple Watch nur für ihre eigene Anzeige; sie gehen weder ans Telefon noch in dein Konto. Von deiner Anmeldung kennt die Wear-OS-Uhr nur den Status. Die Apple Watch hält eine Kopie deines Anmelde-Tokens (Refresh-Token) im Schlüsselbund der Uhr; sie nutzt sie derzeit nicht, beim Abmelden wird sie überschrieben. Uhr-Trainings fließen wie andere Trainings in KI-Coach und Berichte ein (Abschnitt 9), mit Name, Datum, Dauer, Sätzen und Muskelgruppen, ohne Puls, Kalorien oder Strecke. Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO. Löschung: mit dem Konto; was auf Uhr oder Telefon liegt, mit dem Entfernen der App. Die Wear-OS-App ist vom Cloud-Backup und von der Übertragung auf ein neues Gerät ausgeschlossen.

Übungsanimationen auf der Apple Watch: Welche Animation zu einer Übung gehört, sucht dein iPhone heraus und schickt der Uhr mit dem Plan nur die Adresse der Datei. Die Datei selbst lädt die Uhr direkt von unserem Bildserver exercises.getfluxio.de, den Cloudflare für uns betreibt (Tabelle oben). Der Server sieht dabei die IP-Adresse deiner Internetverbindung und welche Datei angefragt wird, also die Übung und ob die männliche oder weibliche Figur gezeigt wird. Deine Konto-Kennung, dein Name und Gesundheitsdaten gehen nicht mit. Die Uhr lädt nur über das gekoppelte iPhone oder WLAN, nicht über Mobilfunk. Die Dateien bleiben im Zwischenspeicher der Uhr und werden beim Abmelden gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Abgebrochene Trainings: Brichst du ein Training ab oder schließt die App, ohne es zu beenden, wird die Einheit trotzdem gespeichert, mit den bis dahin erfassten Sätzen. Sie liegt getrennt von deinen regulären Trainings und zählt nicht für Streak, Wochenziel oder Auswertungen. Löschung: mit dem Konto.

Geteilte Rezepte: Eigene Rezepte sind privat, bis du beim Erstellen oder Bearbeiten „Mit allen teilen“ anhakst. Ein geteiltes Rezept erscheint im Community-Bereich und ist für jeden lesbar, auch ohne Anmeldung (etwa über eine direkte Abfrage unserer Datenbank-Schnittstelle): Titel, Bild, Beschreibung, Zutaten, Schritte und Nährwerte. Dein Name steht nicht dabei, wohl aber eine zufällige Konto-Kennung, über die sich deine geteilten Rezepte einander zuordnen lassen. Zurück auf privat stellst du ein Rezept beim Bearbeiten, mit Free zählt es dann zu deinen 10 privaten Rezepten; sind die voll, geht das erst nach dem Löschen eines privaten Rezepts oder mit Fluxio Food. Löschen geht immer und entfernt Rezept, Zutaten, Schritte und ein hochgeladenes Titelbild.

Titelbilder eigener Rezepte: Sie liegen in einem Speicher, der Bilder ohne Anmeldung ausliefert, in einem Ordner mit deiner Konto-Kennung. Auflisten können ihn andere seit dem 3. Oktober 2026 nicht mehr; abrufen kann ein Bild aber jeder, der seine Adresse kennt, auch das eines privaten Rezepts. Seit dem 3. Oktober 2026 lädt die App nur eine neu erzeugte Kopie deines Fotos hoch, ohne Standort und andere Foto-Metadaten; ältere Titelbilder liegen so da, wie du sie hochgeladen hast. Löschst du ein Rezept oder tauschst sein Bild, löscht die App die alte Datei mit; schlägt das fehl, bleibt sie liegen, bis dein Konto endgültig gelöscht ist (Abschnitt 6). Unter ihrer Adresse kann eine gelöschte Datei noch bis zu einer Stunde abrufbar sein, solange Zwischenspeicher sie vorhalten.

Rezepte bei Konto-Löschung: Mit der endgültigen Löschung nach Ablauf der 30-Tage-Frist (Abschnitt 6) löschen wir private Rezepte mit Zutaten und Schritten, dazu den ganzen Ordner mit deinen Titelbildern. Bis dahin bleibt alles, wie es ist, auch geteilte Rezepte samt Titelbild bleiben sichtbar. Danach bleiben geteilte Rezepte sichtbar, getrennt von deinem Konto und ohne die Titelbilder, die du hochgeladen hast. Im Rezept-Link bleibt deine zufällige Konto-Kennung stehen, meist nur ihr Anfang, sodass sich deine geteilten Rezepte weiter einander zuordnen lassen. Sollen sie verschwinden, lösche sie, bevor du die Löschung beantragst, danach kommst du nicht mehr an sie heran.

Diese kostenlose Aktion gibt es derzeit in der Android-App; in der iOS-App bieten wir sie nicht an. Was unten zu iOS steht, gilt nur, soweit die Prüfung dort angeboten wird. Erst wenn du die gesonderte Gerätefreigabe aktivierst und deinen Einlade-Code vorbereitest oder einen fremden Einlade-Code einlöst, prüft Fluxio die Echtheit der App und erkennt das dafür verwendete Gerät wieder. Auf iOS verwenden wir App Attest von Apple und eine eigene Kennung im Schlüsselbund, auf Android Play Integrity von Google und eine Ableitung der nur für App-Signatur, Gerät und Android-Nutzer geltenden Android-Kennung. Wir nutzen weder Werbe-IDs noch Browser-Fingerprinting und verwenden diese Kennungen nicht für Werbung.

Apple beziehungsweise Google erhalten dabei technische App-, Geräte- und Sicherheitsinformationen sowie einen Hashwert der konkreten Prüfanfrage. Deine Fluxio-Konto-Kennung und der Einladungscode werden ihnen nicht als Klartext übermittelt. Die technischen Dienste können Daten außerhalb der EU/des EWR verarbeiten; Informationen dazu findest du bei Apple und Google. Auf unserem Server werden die ursprünglichen Gerätekennungen nach der Prüfung verworfen. Wir speichern zweckgebundene HMAC-Vergleichswerte, öffentliche Prüfschlüssel und Zähler für die Verifikation, keine privaten Geräteschlüssel. Die privaten Schlüssel bleiben im Gerät.

Die Netzwerkadresse gleichen wir ausschließlich auf unserem Server mit kostenfreien VPN-Netzlisten von X4BNet und der öffentlichen Tor-Exit-Liste ab. Die Listen werden gesammelt abgerufen; deine IP-Adresse, Gerätekennung und Konto-Kennung werden dafür nicht an diese Listenanbieter gesendet. Für den Vergleich zwischen Einladendem und Eingeladenem speichern wir einen geschützten Hash der IP, keine Klartext-IP in dieser Prüftabelle. Gleiche Geräte oder Netzwerke sowie bekannte VPN-/Proxy-/Tor-Verbindungen können die Empfehlungsprämie ausschließen. Die Listen sind nicht vollständig und können sich ändern.

Nur wenn du die separate Standortfreigabe auswählst, wird beim Einlösen einmalig deine aktuelle Position mit der ungefähren IP-Region verglichen. Die Koordinaten und die ermittelte Entfernung speichern wir nicht; allein das Merkmal einer großen Abweichung kann bis zur Löschung der kurzlebigen Prüfanfrage verbleiben. Eine Standortabweichung allein verhindert keine Prämie. Ohne Standort bleibt die Teilnahme möglich.

Die Gerätefreigabe ist nicht vorangekreuzt. Du kannst sie unter „Gutscheine und Freunde einladen“ über „Geräteprüfung widerrufen“ für die Zukunft widerrufen. Dabei entfernen wir deine aktiven Gerätezuordnungen und nicht mehr benötigte Prüfschlüssel. Danach sind für weitere Empfehlungen eine neue Freigabe und Geräteprüfung erforderlich. Bereits vergebene Prämien bleiben bestehen. Ein bereits verwendetes Gerät bleibt für höchstens 30 Tage nach der Einlösung als pseudonymer Sperrwert erkennbar, auch nach Widerruf oder Kontolöschung; der Konto-Bezug entfällt dabei. Dies verhindert, dass die Prämienregel durch Löschen und erneutes Anlegen eines Kontos umgangen wird. Gegen diese Interessenverarbeitung kannst du bei datenschutz@getfluxio.de widersprechen; wir prüfen deinen Einzelfall. Die übrige App und normale Gutscheine kannst du ohne Teilnahme an der Empfehlungsaktion nutzen.

Für Lebensmittel-KI, Etikettenfotos, Übungsanalysen und Planimporte begrenzen wir die täglichen KI-Aufrufe und die Zahl gleichzeitig laufender Analysen. Dafür speichern wir mit Bezug zu deinem Konto technische Tageszähler und kurzlebige Freigabebelege. Darin stehen keine Bilder, Lebensmitteltexte, Prompts oder Analyseergebnisse. Die Zähler dienen dem Missbrauchs- und Ressourcenschutz, nicht der Werbung oder einer zusätzlichen Abrechnung.

Eine Wiederholung beim KI-Anbieter zählt als weiterer Versuch. Auch bei einem Timeout kann der Anbieter die Anfrage bereits verarbeitet haben. Lokale Lebensmittel- und Cache-Treffer benötigen kein zusätzliches KI-Budget; die normalen Anfragegrenzen gelten weiter. Für diese Schutzprüfung kommen keine neuen externen Empfänger hinzu. Die kurzen Speicherfristen findest du in Abschnitt 6.

An mehreren Stellen kannst du diktieren statt tippen: beim Sprach-Tracking in der Ernährung, in der Übungs- und Rezeptsuche, im Planarchiv, bei der Spracheingabe für Trainingspläne, beim Beschreiben einer eigenen Übung, im KI-Coach und für Sprachbefehle im Kochmodus. Das Mikrofon ist nur aktiv, solange eine Spracheingabe läuft, die du selbst eingeschaltet hast.

iPhone- und Android-App: Fluxio verlangt vom Betriebssystem die Spracherkennung auf dem Gerät. Die Tonaufnahme geht dabei weder an uns noch an einen Sprachdienst im Netz, und Fluxio speichert sie nicht. Dein Gerät fragt dafür nach dem Zugriff auf das Mikrofon, das iPhone zusätzlich nach der Spracherkennung. Kann dein Gerät Sprache nicht selbst erkennen, etwa weil das Sprachpaket fehlt, bleibt die Funktion aus; einen Umweg über einen Server gibt es nicht.

Im Browser: Dort nutzt Fluxio die Spracherkennung deines Browsers. Je nach Browser schickt dieser die Tonaufnahme an den Sprachdienst seines Herstellers, zum Beispiel an Google bei Chrome oder an Apple bei Safari, möglicherweise auch in Länder außerhalb der EU. Darauf haben wir keinen Einfluss; es gelten die Datenschutzhinweise des Browser-Herstellers. Wir selbst erhalten die Tonaufnahme auch hier nicht. Möchtest du das nicht, tippe die Eingabe stattdessen.

Der erkannte Text wird so verarbeitet, als hättest du ihn getippt. Wo eine Funktion die KI nutzt (Sprach-Tracking, Spracheingabe für Trainingspläne, Analyse einer eigenen Übung, KI-Coach, in Pro auch das Diktat in der Übungs- und Rezeptsuche), geht er über unseren Server an Mistral AI (EU). Sprachbefehle im Kochmodus und die Suche im Planarchiv wertet die App auf deinem Gerät aus. Diktierst du Gesundheitsangaben, gilt dafür deine Einwilligung in die Verarbeitung von Gesundheitsdaten (Abschnitte 3, 9 und 10).

Den Zugriff auf Mikrofon und Spracherkennung kannst du jederzeit in den Einstellungen deines Geräts oder Browsers entziehen. Diktieren geht dann nicht mehr, alles andere bleibt nutzbar.

Die Kalenderanbindung ist optional. Diese Hinweise gelten, wenn du mit der entsprechenden Fluxio-Version unter Einstellungen → Workout oder Integrationen → Kalender Google Kalender oder, in der iPhone-App, Apple Kalender verbindest. Fluxio legt einen eigenen Kalender an. Übernommen werden nur die von dir gewählten Trainingstermine mit Beginn, Ende, Zeitzone, Plantag-Nummer, einem allgemeinen Hinweis zur Planart und einer zufälligen technischen Kennung. Standardmäßig lautet der Titel „Fluxio · Training“. Plan- und Tagesnamen gehen nur mit, wenn du diese zusätzliche Anzeige selbst einschaltest. Bitte verwende dort keine vertraulichen Angaben, die du deinem Kalenderanbieter nicht übermitteln möchtest.

Google Kalender: Die Anmeldung erfolgt bei Google. Fluxio fordert die Berechtigung calendar.app.created an, um von Fluxio angelegte Kalender und deren Termine zu verwalten. Deine bestehenden privaten Kalender werden dafür nicht gelesen. Wir speichern die Zugangs- und Erneuerungstoken verschlüsselt in der EU-Datenbank sowie die Kalenderkennung und den Zeitpunkt und Fehlerstatus des letzten Abgleichs. Ein zeitgesteuerter Serverprozess aktualisiert die Termine auch bei geschlossener App. An Google gehen keine Diagnosen, Körperwerte, Schlafwerte oder Chattexte.

Apple Kalender: iOS verlangt für das Lesen und Aktualisieren der eigenen Kalendereinträge vollständigen Kalenderzugriff. Fluxio verwendet ihn ausschließlich für den selbst angelegten Fluxio-Kalender. Die Kalenderkennung bleibt auf deinem iPhone; private Termine aus anderen Kalendern werden nicht an Fluxio übertragen. Der Abgleich läuft bei aktiver App. Liegt der Kalender in iCloud, synchronisiert Apple ihn entsprechend deinen iCloud-Einstellungen auf weitere Geräte. Bei einem rein lokalen Kalender bleiben die Einträge auf dem iPhone.

Änderungen fließen ausschließlich von Fluxio in den Kalender. Dynamische Termine sind Prognosen; sie bestätigen kein absolviertes Training. Beim Trennen endet die Aktualisierung. Vorhandene Einträge im Kalender bleiben erhalten und können dort gelöscht werden. Bei Google wird die gespeicherte Freigabe widerrufen und die Tokenkopie bei Fluxio gelöscht. Apples Kalenderberechtigung kannst du zusätzlich in den iOS-Einstellungen entziehen. Bei einem offenen Kontolöschantrag pausiert der serverseitige Abgleich; mit der endgültigen Kontolöschung werden die gespeicherten Google-Zugangsdaten entfernt.

Rechtsgrundlage für die von dir angeforderte Kalenderübernahme ist Art. 6 Abs. 1 lit. b DSGVO. Die gespeicherten Google-Zugangsdaten und die Kalenderkennung bleiben bis zum Trennen oder zur endgültigen Kontolöschung gespeichert. Ausstehende Google-Anmeldevorgänge verfallen nach 10 Minuten und werden spätestens beim nächsten Kalenderjob entfernt. Der an dein Konto gebundene Anmeldeschutz im Tab-Speicher ist längstens 10 Minuten gültig und wird bei der Rückkehr entfernt. Die lokale Apple-Kalenderkennung bleibt bis zur Entfernung der App gespeichert; beim Trennen wird ihre Aktualisierung deaktiviert.

Google und Apple verarbeiten die an ihre Kalender übermittelten Daten als eigenständige Verantwortliche nach ihren eigenen Datenschutzhinweisen; eine Verarbeitung außerhalb des EWR ist möglich. Die Nutzung der Google-API-Daten beschränkt sich auf diese Kalenderfunktion und entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Kalenderdaten werden nicht für Werbung, das Training von KI-Modellen oder den KI-Coach verwendet.

Mistral AI (Frankreich/EU): Alle KI-Funktionen (Coach, Bots, Berichte, Foto-Erkennung) laufen über Mistral AI mit Sitz in Paris. Die Antworten berechnet Mistral in Rechenzentren in der EU bzw. im EWR. Für Fluxio ist bei Mistral Zero Data Retention eingerichtet: Anfragen und Antworten werden nur so lange verarbeitet, wie die Antwort braucht, danach weder gespeichert noch protokolliert und nie zum Training von Modellen verwendet. Für Sicherheit und Netzwerkschutz setzt Mistral einzelne Unterauftragnehmer außerhalb der EU ein (etwa CrowdStrike, USA, und Cloudflare mit weltweitem Netz). Soweit dabei Daten in ein Drittland gelangen können, ist das über die Garantien in Mistrals Auftragsverarbeitungsvertrag nach Art. 44 ff. DSGVO abgesichert.

Vercel (USA): Web-Hosting mit EU-Standardvertragsklauseln (SCCs) gem. Art. 46 Abs. 2 lit. c DSGVO. Schrems-II-Restrisiko ist durch Pseudonymisierung und Verschlüsselung technisch minimiert.

Sentry Session Replay (EU-Instanz, Deutschland): Mit derselben Einwilligung zeichnet Sentry 10% der Sitzungen sowie 100% der Sitzungen mit Fehlern als maskiertes Replay auf (alle Texte und Eingaben unkenntlich, sensible Bereiche blockiert). Ohne Einwilligung findet keinerlei Aufzeichnung statt; ein Widerruf stoppt eine laufende Aufzeichnung sofort.

RevenueCat (USA): Verarbeitet Käufe im App Store (Abo, einzelne Coaches, Extra-Züge der Coach-Ziehung und Gutscheine) und auf der Webseite sowie den Abo-Status (App-Nutzer-ID, Kauf-Events; beim Kauf auf der Webseite zusätzlich E-Mail-Adresse und Land). Keine Gesundheitsdaten und keine Kartendaten, die bleiben bei Apple bzw. Stripe. Das Bezahlfenster auf der Webseite schickt keine Nutzungsstatistik an RevenueCat. Übermittlung auf Basis EU-SCCs.

Stripe (Irland/USA): Beim Kauf auf der Webseite ist unser Vertragspartner Stripe Payments Europe in Dublin; Stripe übermittelt Daten an Stripe Inc. in den USA, abgesichert über das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Die Eingabefelder für Kartendaten liefert Stripe direkt aus, sie laufen nie über unsere Server. Stripe wird erst geladen, wenn du das Bezahlfenster öffnest, auf allen anderen Seiten nicht.

USDA FoodData Central (USA): Anonyme Suchanfragen für Lebensmitteldaten (nur Suchbegriff, keine Nutzer-ID). Kein Auftragsverarbeitungsvertrag möglich (US-Bundesbehörde). Risikominimierung durch strikte Nicht-Übermittlung personenbezogener Daten.

Spoonacular (USA): Suchst du im Rezeptbereich, geht dein Suchbegriff an diesen Anbieter, ohne Nutzer-Kennung und ohne Angaben aus deinem Ernährungsprofil; die Anfrage stellt unser Server, nicht dein Gerät. Ein Auftragsverarbeitungsvertrag besteht nicht. Bedenke deshalb: was du ins Suchfeld tippst, verlässt die EU. Suchst du dort nach gesundheitsbezogenen Begriffen (etwa „glutenfrei“ oder „laktosefrei“), geht diese Angabe mit.

Apple Push (USA): Erlaubst du Benachrichtigungen auf einem iPhone oder iPad, läuft die Zustellung über Apples Push-Dienst. Apple sieht dabei den Text der Benachrichtigung, bei uns etwa den Namen deines heutigen Trainings oder eine Erinnerung ans Essenstagebuch. Bei Benachrichtigungen im Browser (Chrome, Firefox, Edge) ist der Inhalt dagegen für den Push-Dienst verschlüsselt; sichtbar bleiben ihm nur Zeitpunkt und Häufigkeit.

Google Push (USA): In der Android-App läuft die Zustellung über Googles Firebase Cloud Messaging. Dafür vergibt Google deinem Gerät ein Registrierungs-Token, das wir zu deinem Konto speichern. Google sieht wie Apple den Text der Benachrichtigung. Meldest du dich in der App ab, löscht sie das Token bei uns und bei Google. Von Firebase nutzen wir nur diesen Zustelldienst, kein Firebase Analytics: die Android-App schickt über Firebase keine Nutzungsdaten an Google.

Have I Been Pwned (UK): Beim Setzen eines Passworts prüfen wir, ob es in bekannten Datenlecks auftaucht. Übermittelt werden nur die ersten fünf Zeichen eines Hashwerts deines Passworts, und die Anfrage stellt unser Server. Weder das Passwort noch dein Konto sind für den Dienst erkennbar. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

Google und Resend (USA): Mails an Adressen @getfluxio.de, etwa support@ oder datenschutz@, nimmt Google entgegen. Mails an support@ leitet Google an Resend weiter, und Resend übergibt sie an unser Support-System, das bei Supabase in der EU liegt. Antworten aus dem Support-Team verschickt Resend. Beide Anbieter sehen dabei Absender, Empfänger, Betreff und Inhalt der Mail samt Anhängen. Google ist nach dem EU-US Data Privacy Framework zertifiziert; mit Resend besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln. Einem Fluxio-Konto ordnen wir eine Mail nur zu, wenn die Absenderprüfung (SPF, DKIM, DMARC) bestanden ist und genau ein Konto zur Adresse passt; sonst bleibt sie ein Ticket ohne Konto-Bezug.

So läuft eine Konto-Löschung ab:

1. Sofort mit dem Antrag (Einstellungen → Konto → Meine Daten → Konto löschen): Die App meldet dich auf allen Geräten ab. Gelöscht wird in diesem Moment noch nichts, deine Daten bleiben gespeichert, geteilte Rezepte samt Titelbild bleiben sichtbar. Meldest du dich wieder an, zeigt dir die App nur noch den offenen Antrag: abbrechen oder abmelden. Exportiere deine Daten und lösche geteilte Rezepte deshalb vorher. Ein Abo (Food oder Pro) von der Webseite verlängert sich ab dem Antrag nicht mehr (siehe unten). Ab dem Antrag bekommst du keine Benachrichtigungen mehr, wir erstellen keine KI-Berichte und verschicken keine Berichts-Mails, und wir passen deinen Trainingsplan nicht mehr automatisch an. Deine Daten gehen für diese Abläufe also weder an Mistral AI noch an Resend. Ein Durchlauf, der beim Antrag schon begonnen hat, kann noch zu Ende gehen. Interne Berechnungen, etwa zu Trainingsbelastung, Schlafschuld und Erholung, laufen bis zur endgültigen Löschung weiter. Brichst du die Löschung ab, laufen alle Abläufe wieder wie vorher.
2. Abbrechen innerhalb der 30 Tage: Melde dich wieder an und tippe auf „Löschung abbrechen“; deine Daten sind dann noch vollständig da. Kommst du nicht mehr in dein Konto, schreib an datenschutz@getfluxio.de, am besten von der Adresse deines Kontos, wir brechen die Löschung dann von Hand ab. Warte nicht bis zum letzten Tag: Die Löschung läuft ohne weiteres Zutun. Der abgebrochene Antrag bleibt im Löschprotokoll vermerkt, mit Konto-Kennung, und wird 12 Monate nach dem Abbruch automatisch gelöscht.
3. Nach Ablauf der 30 Tage: Die Löschung läuft einmal pro Nacht; dein Konto ist beim ersten Lauf danach an der Reihe, also 30 bis 31 Tage nach dem Antrag. Zuerst sperren wir dein Konto und melden dich auf allen Geräten ab, ab da kannst du dich nicht mehr anmelden und die Löschung nicht mehr abbrechen. Dann löschen wir alle Daten in unserer Datenbank, die an deinem Konto hängen, noch gespeicherte Datenexporte, private Rezepte samt Titelbildern und zuletzt den Zugang selbst mit E-Mail-Adresse und Anmeldedaten. Scheitert ein Schritt, versucht es der Lauf der nächsten Nacht erneut.
4. Was danach bleibt:
   • Das Löschprotokoll: ein gepfefferter Hash deiner E-Mail-Adresse, die Zeitpunkte von Antrag und Löschung, der Grund, falls du einen angegeben hast, und die Liste der gelöschten Bereiche, ohne Konto-Kennung. Es belegt, dass wir gelöscht haben (Art. 5 Abs. 2 DSGVO), und wird 5 Jahre nach dem Antrag automatisch gelöscht.
   • Protokollzeilen ohne Konto-Bezug: das Einwilligungs-Protokoll (noch drei volle Kalenderjahre, Tabelle oben), das Zugriffsprotokoll zu Konto-Berechtigungen und Geburtsdatum und das Protokoll deiner Beiträge zur Lebensmittel-Datenbank (Abschnitt 10a).
   • Globale Lebensmitteleinträge, die ohnehin keinen Konto-Bezug haben (Abschnitt 10), und geteilte Rezepte, getrennt von deinem Konto (Abschnitt 4).
   • Kündigungserklärungen über die Kündigungsseite: Sie hängen an deiner E-Mail-Adresse, nicht am Konto, und bleiben 36 Monate (Tabelle oben). Haben wir eine bei der Bearbeitung deinem Konto zugeordnet, löscht die Konto-Löschung sie mit.
   • Widerrufserklärungen über die Widerrufsfunktion: Sie bleiben für die gesetzliche Aufbewahrungsfrist (Tabelle oben), auch wenn du dein Konto löschst. Die Zuordnung zum Konto entfällt mit der Löschung.
   • Meldungen über das Meldeformular: Sie hängen nicht an deinem Konto und bleiben für die Frist aus der Tabelle oben. Auskunft und Löschung erhältst du über die Adresse aus Abschnitt 1.
   • Bei unseren Dienstleistern (Abschnitt 4) löst die Konto-Löschung keine eigene Löschung aus; dort gelten deren Fristen, bei Sentry etwa 90 Tage (Tabelle oben).
   • Ein Abo (Food oder Pro) aus dem App Store oder von Google Play: Die Konto-Löschung beendet es nicht, das können nur Apple und Google. Kündige es in der Abo-Verwaltung der Plattform, am besten, bevor du die Löschung beantragst. Ein Abo von der Webseite stoppen wir dagegen mit dem Antrag: Dazu geben wir RevenueCat deine Konto-Kennung, das Abo verlängert sich nicht mehr und läuft bis zum Ende des bezahlten Zeitraums. Was davon nach der endgültigen Löschung übrig wäre, verfällt mit dem Konto. Brichst du die Löschung ab, schließt du das Abo bei Bedarf neu ab.

Wo auf dieser Seite von „Konto-Löschung“, „Löschung des Kontos“ oder einer Löschung „mit dem Konto“ die Rede ist, ist diese endgültige Löschung nach Ablauf der 30 Tage gemeint.

• Art. 15: Auskunft über gespeicherte Daten
• Art. 16: Berichtigung unrichtiger Daten
• Art. 17: Löschung, direkt in der App unter Einstellungen → Konto → Meine Daten → Konto löschen; das Konto wird nach Ablauf von 30 Tagen endgültig gelöscht, bis dahin kannst du nach erneuter Anmeldung abbrechen (Abschnitt 6)
• Art. 18: Einschränkung der Verarbeitung
• Art. 20: Datenübertragbarkeit, direkt in der App unter Einstellungen → Konto → Meine Daten → Exportieren
• Art. 21: Widerspruch gegen berechtigte Interessen
• Art. 7 Abs. 3: Widerruf der Einwilligung, direkt unter Einstellungen → Konto → Datenschutz

Anfragen per E-Mail an datenschutz@getfluxio.de. Antwort binnen 30 Tagen (Art. 12 Abs. 3 DSGVO).

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, bei der Behörde deines Wohnorts oder bei der für den Verantwortlichen zuständigen Behörde:

• Für den Verantwortlichen zuständig: Sächsische Datenschutz- und Transparenzbeauftragte, Dresden, datenschutz.sachsen.de
• Österreich: Datenschutzbehörde, dsb.gv.at
• Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), edoeb.admin.ch

Der KI-Coach analysiert deine Gesundheits- und Trainingsdaten und gibt Empfehlungen. Es findet kein automatisiertes Profiling i.S.v. Art. 22 DSGVO mit rechtlichen oder ähnlich erheblichen Auswirkungen statt. Alle Empfehlungen sind unverbindlich. Bei medizinischen Fragen wende dich an Fachpersonal.

Anfragen an den KI-Anbieter enthalten keinen Klarnamen und keine Nutzer-Kennung; unser Messdienst Langfuse erhält nur eine pseudonyme Kennung. Ehrlicherweise gilt aber: Was du selbst in den Chat schreibst und was beim Planimport aus deiner Vorlage erkannt wird, geht vollständig an Mistral AI (EU). Stehen darin persönliche Angaben, etwa Namen oder Kontaktdaten, werden sie mitübermittelt. Deine Gespräche werden auf unseren Servern nicht gespeichert.

Planimport (Pro): Wenn du eine PDF oder Fotos auswählst, liest die App die Datei mit lokal ausgeführter Texterkennung auf deinem Gerät. Dafür laden wir die benötigten Programm- und Sprachdateien aus unserer App, nicht von einem OCR-Drittdienst. Die Originaldatei wird weder bei uns noch bei Mistral hochgeladen. Der erkannte Text wird mit Internetverbindung über unseren Server an Mistral AI (EU) zur Erkennung der Tagesstruktur und Übungen übermittelt. Dafür brauchst du die Einwilligung in den KI-Coach in der aktuellen Fassung, die den Planimport nennt, und die Einwilligung in die Verarbeitung von Gesundheitsdaten. Enthält die Vorlage Namen, Kontaktdaten oder andere persönliche Angaben, können sie Teil dieses Textes sein. Importtexte werden nicht in unseren Inhaltsprotokollen gespeichert.

Der Importentwurf mit erkanntem Quelltext liegt auf deinem Gerät. Nach einem Abbruch kannst du ihn mit derselben Datei fortsetzen. Du prüfst die Zuordnungen, Originalwerte und Hinweise, bevor du den fertigen Plan speicherst. Erst der bestätigte Plan wird wie deine übrigen eigenen Pläne in deinem Konto gespeichert, einschließlich übernommener Originalbelege, Notizen und Importhinweise. Eigene Übungen daraus bleiben privat. Für lokale Entwürfe gilt die Bereinigung beim nächsten Öffnen nach sieben Tagen aus Abschnitt 6. Den Planimport auf der Website beschreibt Abschnitt W8.

Werte aus Apple Health, Health Connect und Wearables sind davon zunächst ausgenommen: KI-Coach, Schlaf-Coach, Wochen- und Monatsbericht bekommen nur, was du selbst in Fluxio erfasst. Erst mit der eigenen Freigabe „Apple Health & Wearables für die KI“ unter Einstellungen → Datenschutz (Art. 9 Abs. 2 lit. a DSGVO) gehen auch diese Werte an Mistral AI (EU, Auftragsverarbeiter): Schlaf mit Schlafphasen, Herzfrequenzvariabilität (HRV), Herzfrequenz und Ruhepuls, Schritte, Körpergewicht und Körpermaße sowie importierte Trainings. Die Freigabe ist freiwillig und nie vorausgewählt; ohne sie funktioniert die App unverändert. Sie setzt die Einwilligung in die Verarbeitung deiner Gesundheitsdaten voraus, widerrufst du jene, endet auch diese. Nach einem Widerruf gehen keine dieser Werte mehr an das Modell; bis dahin erstellte Berichte bleiben gespeichert. In Berichts-E-Mails stehen die Kennzahlen und Diagramme aus diesen Quellen auch mit Freigabe nicht. Der Text, den die KI für den Bericht schreibt, wird dort aber nicht inhaltlich gefiltert und kann deine Erholung allgemein erwähnen.

Auch der Support-Assistent antwortet automatisiert auf Basis einer Wissensdatenbank (Verarbeitung über Mistral AI, EU). Bei Bedarf oder auf Wunsch übernimmt ein Mensch aus dem Support-Team das Gespräch; ab dann antwortet der Assistent nicht mehr, bis das Team das Gespräch zurückgibt. Beide Wechsel stehen im Verlauf. Die Antwort des Teams erscheint im Chat der App; hast du Benachrichtigungen erlaubt, kommt dazu eine Push-Mitteilung mit festem Text („Du hast eine neue Nachricht vom Support.“), die den Inhalt der Antwort nicht enthält. Schreibst du uns per E-Mail, antwortet das Team per E-Mail. Neue Chat- und E-Mail-Tickets werden zusätzlich automatisch einem Themengebiet zugeordnet, etwa Zahlung, Kündigung, Fehler oder Datenlöschung. Dafür übermitteln wir den ersten Nachrichtentext und bei E-Mails den Betreff und Text an Mistral AI (EU). Wir begrenzen den übermittelten Text auf 6.000 Zeichen; Anhänge, technische Mail-Header, Kundenprofile und spätere Antworten des Teams werden dafür nicht übermittelt. Persönliche Angaben im Nachrichtentext können dabei mitübermittelt werden. Die Kategorie wird am Ticket gespeichert und kann vom Team korrigiert werden. Eine Kündigung oder Datenlöschung wird dadurch nicht ausgelöst. Auch hier findet keine automatisierte Entscheidungsfindung i.S.v. Art. 22 DSGVO statt.

Mitglieder unseres Support-Teams können in der internen iPhone- und iPad-App Push-Mitteilungen aktivieren. Für neue Nachrichten und Ticket-Mitteilungen übermitteln wir dann über den Apple Push Notification Service den Accountnamen beziehungsweise Absendernamen, das Themengebiet, den Tarif (Pro, Food oder kostenlos) und eine Nachrichtenvorschau an die freigeschalteten Teamgeräte. Persönliche Angaben im Nachrichtentext können dabei enthalten sein. Anhänge, Kundenprofile und Gesundheitswerte außerhalb dieses Textes werden dafür nicht übermittelt. Zur Zustellung speichern wir die technische Gerätekennung des Push-Dienstes. Die Vorschau kann je nach Geräteeinstellung auf dem Sperrbildschirm erscheinen. Das Team kann die Mitteilungen in den iOS-Einstellungen ausschalten; bei ausdrücklicher Abmeldung oder Entzug des Zugangs wird die zugehörige Push-Freigabe beendet.

Über den Support-Assistenten kannst du außerdem dein Geburtsdatum berichtigen lassen (Art. 16 DSGVO), das du sonst nicht selbst ändern kannst. Nennst du ihm das richtige Datum, geht es, wie jede andere Chat-Nachricht, an Mistral AI (EU); der Assistent macht daraus nur einen Vorschlag. Gespeichert wird er erst, wenn du ihn selbst bestätigst; geprüft und geschrieben wird er auf unserem Server, nicht von der KI. Ergibt das genannte Datum ein Alter unter 16 Jahren, wird nichts geändert und ein Mensch aus dem Team schaut sich den Fall an. Die Änderung selbst steht anschließend im Zugriffsprotokoll (Abschnitt 6).

Suchst du ein Lebensmittel, fragen wir zuerst Open Food Facts und USDA an (nur der Suchbegriff, keine Nutzer-Kennung). Findet dort nichts, kannst du per Button eine KI-Schätzung anfordern: Mistral AI (EU) schätzt die Nährwerte zum eingegebenen Namen. Übermittelt wird dabei der Suchbegriff, nicht dein Profil. Beim Sprach-Tracking läuft derselbe Schritt automatisch für alles, was keine Datenbank kennt, dort geht der aus deiner Ansage transkribierte Text an die KI, ohne dass du ihn nochmal bestätigst.

Lässt sich ein Barcode nicht lesen oder hat ein Produkt keinen, kannst du die Nährwerttabelle fotografieren. Das Foto wird auf deinem Gerät verkleinert und einmalig an Mistral AI (EU) geschickt, das die Werte abliest. Wir speichern das Bild nicht, weder auf unseren Servern noch in der Datenbank noch in Protokollen; nach der Antwort ist es weg. Zurück kommen nur die abgelesenen Zahlen, die du vor dem Übernehmen siehst und korrigieren kannst. Fotografiere nur das Etikett: alles andere im Bildausschnitt geht mit an die KI.

Mit der Kachel „Foto“ (Fluxio Food oder Pro) kannst du auch eine ganze Mahlzeit fotografieren. Das Bild geht auf demselben Weg einmalig an Mistral AI (EU), das die Lebensmittel benennt und die Mengen schätzt. Nährwerte kommen nie aus dem Bild, sondern aus unserer Lebensmitteldatenbank; auch dieses Foto speichern wir nicht. Damit die Erkennung mit der Zeit besser wird, merken wir uns beim Übernehmen, was du aus dem Vorschlag gemacht hast: den Wortlaut des Modells, das Lebensmittel, das du bestätigt oder stattdessen gewählt hast, und die Grammzahl, mit Bezug zu deinem Konto, damit jedes Konto pro Wortlaut genau eine Stimme hat. Andere Nutzer sehen nie deine einzelne Stimme, sondern nur den Vorschlag, auf den sich mehrere voneinander unabhängige, mindestens 24 Stunden alte Konten geeinigt haben. Diese Stimmen sind Teil deines Datenexports, werden mit deinem Konto gelöscht und beruhen auf deiner Einwilligung in die Verarbeitung von Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO), die du jederzeit in den Einstellungen widerrufen kannst.

Diese Schätzung speichern wir global, mit dem Namen, den die KI aus deiner Eingabe bildet (liefert sie keinen, wird deine Eingabe wörtlich gespeichert), den geschätzten Nährwerten und ohne Bezug zu deinem Konto. So muss dieselbe Anfrage nicht erneut bezahlt berechnet werden. Zur Unterscheidung „derselbe Mensch fragt nochmal“ von „eine zweite Person fragt dasselbe“ speichern wir zusätzlich einen gepfefferten Hash deiner Nutzer-Kennung (SHA-256 mit einem Geheimwert, der nur auf dem Server liegt). Er wird nie an andere Nutzer ausgeliefert, nie ausgewertet und ist ohne diesen Geheimwert nicht auf dich zurückrechenbar. Ehrlich bleibt: weil wir den Geheimwert besitzen, ist dieser Hash pseudonym, nicht anonym, wir könnten ihn technisch einem Konto zuordnen. Wir tun es nicht; er wird ausschließlich mit dem Hash des nächsten Anfragers verglichen.

Wann so ein Eintrag für alle sichtbar wird: erst wenn eine zweite, unabhängige Person mit einem mindestens 24 Stunden alten Konto denselben Begriff sucht, die geschätzten Nährwerte physikalisch plausibel sind und der Name eine automatische Prüfung besteht (keine Kontaktdaten, keine Personenbezüge wie „Omas …“ oder „… von Anna“, keine ganzen Sätze). Diese Prüfung ist eine technische Vorsichtsmaßnahme, keine Garantie, tippe in die Lebensmittelsuche keine privaten Angaben.

Ausnahme Barcode-Scan: Stößt du die Schätzung aus einem gescannten Barcode an, speichern wir Name, Marke und Nährwerte zusätzlich in einem globalen Barcode-Verzeichnis, damit derselbe Code beim nächsten Scan sofort auflöst. Dieser Eintrag ist für alle eingeloggten Nutzer sichtbar, hier ohne die Zwei-Personen-Schwelle, weil der Schlüssel die gescannte Nummer ist und nicht dein Freitext. Ein bereits vorhandener Eintrag aus einer echten Produktdatenbank wird dabei nie durch eine Schätzung überschrieben.

Löschung: Ein solcher Eintrag trägt keine Nutzer-ID und hängt an keinem Konto, es gibt also nichts, woran eine Konto-Löschung ansetzen könnte. Er wird deshalb nicht mit entfernt und bleibt als Lebensmitteleintrag bestehen (samt dem oben beschriebenen Pseudonym-Hash). Eine automatische Bereinigung alter Einträge gibt es derzeit nicht. Möchtest du, dass ein bestimmter Eintrag verschwindet, schreib uns an datenschutz@getfluxio.de; wir löschen ihn.

Rechtsgrundlage für die Bereitstellung und Zwischenspeicherung der Lebensmitteldaten: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die Weiterverwendung der Schätzung ohne Nutzer-ID Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nutzbaren Lebensmitteldatenbank).

Findet ein gescannter Barcode kein Produkt, oder sind die gefundenen Nährwerte falsch, kannst du sie selbst eintragen oder korrigieren. Anders als die reine Suche aus Abschnitt 10 speichern wir diese Einreichung mit Bezug zu deinem Konto, pro Barcode genau eine Stimme pro Person, damit niemand mehrfach für denselben Code abstimmen kann. Für alle anderen Nutzer sichtbar wird immer nur das anonyme Ergebnis im globalen Barcode-Verzeichnis: die Nährwerte samt Zähler, wie viele Menschen sie tragen, nie, wer sie eingetragen hat.

Wir protokollieren jede Einreichung, auch abgewiesene. Gespeichert werden: der Barcode, die eingereichten Werte, das Ergebnis der Prüfung, der Zeitpunkt, deine Konto-Kennung, ein gepfefferter Hash deiner Konto-Kennung und ein gepfefferter Hash deiner IP-Adresse (SHA-256 mit einem Geheimwert, der nur auf dem Server liegt). Die IP-Adresse selbst wird nicht gespeichert. Der IP-Hash beantwortet genau eine Frage, ob mehrere Konten von derselben Adresse aus schreiben, und ist der einzige belastbare Hinweis auf koordinierte Manipulation durch Wegwerf-Konten.

Wozu: Diese Datenbank lesen alle Nutzer. Ohne Protokoll wäre nach einer Manipulation nicht feststellbar, wer welche Werte verdrängt hat, und ein gezielter Rückbau wäre unmöglich. Wir nutzen das Protokoll ausschließlich dafür: falsche Beiträge zurückrollen und, wenn nötig, ein Konto für weitere Beiträge sperren. Es wird nicht für Profilbildung, Werbung oder Empfehlungen ausgewertet und nie an Dritte weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer manipulationsfreien, von allen genutzten Datenbank).

Aufbewahrung: Der IP-Hash wird nach 30 Tagen gelöscht, der Konto-Bezug im Protokoll nach 12 Monaten. Danach bleibt die Protokollzeile bestehen, aber nur noch mit dem gepfefferten Akteurs-Hash, damit ein Muster („dieselbe Quelle“) erkennbar bleibt, ohne dass ein Konto dahintersteht. Ehrlich bleibt auch hier: weil wir den Geheimwert besitzen, ist dieser Hash pseudonym, nicht anonym.

Bei Konto-Löschung verschwinden deine Stimmen vollständig; der globale Eintrag wird danach automatisch neu berechnet, sodass dein Beitrag nicht weiterzählt. Die Protokollzeilen bleiben als Nachweis bestehen, verlieren aber den Bezug zu deinem Konto. Das Protokoll ist ausschließlich für uns als Betreiber einsehbar, kein Nutzer kann sehen, wer einen Eintrag geändert hat.

Die App verwendet keine Marketing-Cookies. Technisch notwendige Cookies gem. § 25 Abs. 2 Nr. 2 TDDDG benötigen keine Einwilligung.

Widgets auf dem iPhone-Startbildschirm: Auf dem iPhone legt die App für ihre Widgets einen kleinen Auszug in einem Speicher ab, den nur Fluxio und seine Widgets lesen können (App Group), auch wenn du kein Widget angelegt hast: Name deines aktiven Plans und seiner Trainingstage, Serie und Wochenziel, Readiness-Wert und Schlafdauer der letzten Nacht, Kalorien, Eiweiß und Wasser des Tages sowie deinen Tarif. Die Widgets laden selbst nichts nach und schicken nichts an uns oder Dritte. Der Auszug bleibt auf dem Gerät, bis die App ihn erneuert; beim Abmelden wird er geleert, beim Löschen der App entfernt. Readiness-Wert und Schlafdauer markiert die App als vertraulich: iOS blendet sie aus, solange dein iPhone gesperrt ist. Die übrigen Werte zeigen Widgets auf dem Startbildschirm und im Standby-Modus auch ohne Entsperren. Möchtest du das nicht, lege das Widget nicht an oder entferne es.

Bei wesentlichen Änderungen informieren wir dich in der App. Die aktuelle Version ist oben angegeben. Bei Änderungen, die eine neue Einwilligung erfordern, wirst du beim nächsten Login zur Bestätigung aufgefordert.

Fassung 1.20 vom 11. November 2026: Teil A entspricht jetzt der Fassung 1.29 in der App. Neu aufgenommen sind die Abschnitte 4a (Freunde einladen), 4b (Schutzgrenzen für KI-Analysen) und 4c (Spracheingabe), die Leistungsmessung über Sentry, Support per E-Mail und im Chat mit dem Support-Team, Benachrichtigungen in der Android-App sowie die Aufbewahrungsfristen für Widerrufserklärungen, Meldungen und das Einwilligungsprotokoll. In Teil B beschreibt W7 die Altersprüfung bei der Registrierung.

Die Website liegt bei Vercel Inc. (USA). Bei jedem Aufruf verarbeitet Vercel technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer und Browser-Kennung. Ohne sie lässt sich die Seite nicht ausliefern und nicht gegen Angriffe schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO).

Die Protokolle werden nur bei Störungen oder Angriffen ausgewertet und von Vercel nach Ablauf der Aufbewahrungsfrist automatisch gelöscht. Mit Vercel besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln.

Welche Seiten gelesen werden, woher Besucher kommen und ob sie zur App finden, zählen wir mit einem eigenen Zähler. Er läuft auf unseren Servern (Vercel, Datenbank bei Supabase in der EU-Region Irland), setzt keine Cookies, legt nichts in deinem Browser ab und gibt nichts an Analyse-Dienste weiter. In Bereichen mit Konto, etwa Anmeldung, Profil oder Berichte, zählt er nicht.

Je Seitenaufruf speichern wir: den Pfad der Seite ohne angehängte Parameter, den Zeitpunkt, den Gerätetyp (Handy, Tablet, Computer) und das Land als Ländercode, den Vercel aus deiner IP-Adresse ableitet. Beim Einstieg kommt die Herkunft dazu: nur der Name der verweisenden Website, etwa google.com, und die Kampagnenangaben utm_source, utm_medium und utm_campaign, nie die vollständige Adresse. Während du liest, erfassen wir, wie weit du gescrollt hast (in Vierteln), wie lange die Seite aktiv im Vordergrund war und ob du einen Link zum App Store, zu Google Play, zur Registrierung, zu den Preisen oder zur Web-App anklickst.

Damit Aufrufe desselben Tages als ein Besuchsweg erkennbar sind, bildet der Server aus IP-Adresse, Browserkennung und Domain einen Hashwert mit einem zufälligen Tagesschlüssel. IP-Adresse und Browserkennung selbst speichern wir nicht. Der Tagesschlüssel wird nach Mitternacht (Berliner Zeit) gelöscht; danach lässt sich der Wert weder zurückrechnen noch mit einem anderen Tag verknüpfen. Am nächsten Tag bist du für den Zähler ein neuer Besucher, und mit einem Fluxio-Konto wird nichts verknüpft. Gegen Missbrauch begrenzt der Server die Anfragen je IP-Adresse; dafür speichert er nur einen gepfefferten Hash der IP-Adresse (Geheimwert nur auf dem Server, also pseudonym, nicht anonym) und löscht ihn nach 24 Stunden.

Einzelne Seitenaufrufe und Klicks löschen wir nach 30 Tagen. Übrig bleiben Tagessummen ohne Personenbezug (Aufrufe, Besucher, Besuche, Absprünge, aktive Zeit, Klicks), die wir 400 Tage aufbewahren. Rechtsgrundlage ist unser berechtigtes Interesse, die Website zu verbessern und ihre Reichweite zu kennen, ohne Cookies und ohne Profil über dich (Art. 6 Abs. 1 lit. f DSGVO).

Widerspruch: Du kannst jederzeit ohne Begründung widersprechen (Art. 21 DSGVO). Sendet dein Browser Global Privacy Control, zählt der Zähler dich gar nicht. Sonst genügt der Schalter hier: Er legt im lokalen Speicher deines Browsers den Eintrag fluxio-web-counter-optout ab, den der Zähler vor jedem Senden prüft. Der Widerspruch gilt für diesen Browser auf diesem Gerät, bis du ihn zurücknimmst oder die Websitedaten löschst.

Ob die Website gefunden und verstanden wird, messen wir mit zwei Diensten. Beide laufen erst, wenn du im Cookie-Banner „Statistik“ erlaubst. Ohne Einwilligung wird keines der beiden Skripte geladen. Sobald du angemeldet bist oder einen Bereich mit deinen Trainings-, Erholungs- oder Ernährungsdaten öffnest, laden wir sie nicht und halten eine laufende Clarity-Aufzeichnung an, deine Gesundheitsdaten erreichen keinen der beiden Dienste.

Cloudflare Web Analytics (Cloudflare Inc., USA) zählt Seitenaufrufe, Herkunftsseite, Gerätetyp und Land. Es erhält die Adresse der aufgerufenen Seite, nicht deren Inhalt. Cloudflare setzt dafür keine Cookies und legt nach eigenen Angaben kein Profil über dich an.

Microsoft Clarity (Microsoft Corporation, USA) zeichnet auf, wie die Website benutzt wird: Klicks, Scrollen, Mausbewegungen, daraus Heatmaps und Sitzungsaufzeichnungen. Eingaben in Formularfelder werden dabei ausgeblendet. Clarity setzt Cookies (siehe Abschnitt W11).

Einmal täglich rufen wir über die Export-Schnittstelle von Clarity zusammengefasste Kennzahlen des Vortags ab, etwa Sitzungen, Scrolltiefe oder gehäufte Klicks, aufgeteilt nach Seite, Gerätetyp und Kanal, und speichern sie bei Supabase, um sie neben dem eigenen Zähler auszuwerten. Das sind Summen und Durchschnitte ohne Bezug zu einzelnen Besuchern; Adressen kürzen wir dabei auf den Pfad bzw. den Namen der Website. Wir löschen sie nach 400 Tagen.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit auf der Seite Cookies widerrufen, die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

Für den Newsletter brauchen wir nur deine E-Mail-Adresse. Wir nutzen das Double-Opt-in-Verfahren: Nach der Anmeldung bekommst du eine E-Mail mit einem Bestätigungslink. Erst wenn du ihn anklickst, bist du eingetragen. Wir speichern den Zeitpunkt der Anmeldung und der Bestätigung, damit wir deine Einwilligung nachweisen können. Nach der Bestätigung schicken wir dir einen persönlichen Gutscheincode für Fluxio Pro; er wird mit deiner E-Mail-Adresse gespeichert, damit er nur einmal eingelöst werden kann.

Versand und Verwaltung der Empfängerliste übernimmt Resend Inc. (USA). Die Adressliste liegt bei Supabase (siehe Abschnitt W7).

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Abmelden kannst du dich jederzeit über den Link in jeder E-Mail. Danach bekommst du keinen Newsletter mehr; die Adresse bleibt als abgemeldet vermerkt, damit wir die Abmeldung nachweisen und einhalten können. Möchtest du, dass wir sie ganz löschen, schreib an datenschutz@getfluxio.de.

Schreibst du uns, verarbeiten wir deine Nachricht und deine Absenderadresse, um dir zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto oder einen Vertrag geht, sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Korrespondenz, sobald sie erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Registrieren und anmelden kannst du dich auch auf der Website. Es ist dasselbe Konto wie in der App: Was du hier einträgst, siehst du in der App und umgekehrt. Konto und Daten liegen bei Supabase (Datenbank in der EU-Region Irland). Deine Anmeldung merkt sich der Browser im lokalen Speicher (Abschnitt W11).

Bei der Registrierung fragen wir nach deinem Geburtsdatum, weil Fluxio erst ab 16 Jahren genutzt werden darf. Die Prüfung läuft in deinem Browser: Das Datum wird nicht gespeichert und nicht an uns übertragen. Die App fragt dein Alter beim Einrichten selbst ab und speichert die Angabe im Profil (Profildaten in Teil A).

Rechtsgrundlage für das Konto ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO). Gesundheits- und Trainingsdaten verarbeiten wir nur auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du in der App erteilst und dort unter Einstellungen → Datenschutz widerrufen kannst. Speicherdauer, Löschung, Export und alle weiteren Einzelheiten stehen in der Teil A.

Im angemeldeten Bereich kannst du dir einen schriftlichen Bericht zu deinem Training, deiner Erholung oder deiner Ernährung erstellen lassen. Dafür schicken wir zusammengefasste Werte aus deinem Konto, Durchschnitte und Summen, etwa Trainingsvolumen, Schlafdauer oder Kalorien, keine einzelnen Einträge und weder Namen noch E-Mail-Adresse, an Mistral AI (Paris, Frankreich). Mistral berechnet die Antwort in Rechenzentren in der EU bzw. im EWR und speichert die Anfrage nicht über die Antwort hinaus.

Weil diese Werte Gesundheitsdaten sein können, ist Rechtsgrundlage deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Der Bericht ist automatisch erstellt, unverbindlich und kann Fehler enthalten; er ist keine Entscheidung im Sinne von Art. 22 DSGVO und keine medizinische Beurteilung (siehe Gesundheitshinweis).

Planimport (Pro): Im Trainingsplaner kannst du einen vorhandenen Plan als PDF oder Fotos importieren. Dein Browser liest die Datei selbst. Die Programm- und Sprachdateien für die Texterkennung liefern wir von getfluxio.de aus, nicht von einem Drittdienst. Die Datei selbst wird nicht hochgeladen. Den erkannten Text schickt dein Browser an unseren App-Server (app.getfluxio.de), der ihn ohne Namen und E-Mail-Adresse an Mistral AI (Paris, Frankreich) weitergibt, um Trainingstage, Übungen, Sätze und Wiederholungen zu erkennen. Enthält die Vorlage Namen, Kontaktdaten oder Gesundheitsangaben, gehen diese als Teil des Textes mit. Mistral speichert die Anfrage nicht über die Antwort hinaus; wir speichern Importtexte nicht in unseren Inhaltsprotokollen.

Übernommen wird nur, was du in der Prüfung zuordnest. Gespeichert wird der Plan erst, wenn du ihn im Planer speicherst. Den Plannamen schlagen wir aus dem Dateinamen vor, du kannst ihn ändern. Voraussetzung sind deine Einwilligungen in die Verarbeitung von Gesundheitsdaten und in den KI-Coach in der aktuellen Fassung, die den Planimport nennt (Art. 9 Abs. 2 lit. a DSGVO). Du erteilst und widerrufst sie in der App unter Einstellungen → Datenschutz. Angaben Dritter in der Vorlage verarbeiten wir auf Grundlage unseres berechtigten Interesses an der von dir veranlassten Texterkennung (Art. 6 Abs. 1 lit. f DSGVO).

Bist du angemeldet, kannst du Rezepte und Trainingspläne auf der Website bewerten und kommentieren. Das ist freiwillig. Wer nicht angemeldet ist, kann mitlesen, aber nichts beitragen.

Kommentare sind für jeden lesbar, auch ohne Anmeldung. Über unsere Datenbank-Schnittstelle ist ein Kommentar außerdem zusammen mit einer zufälligen Konto-Kennung abrufbar, über die sich deine Kommentare einander zuordnen lassen. Schreib bitte nichts über deine Gesundheit hinein, was nicht öffentlich sein soll.

Löschen: Eigene Kommentare löschst du direkt am Rezept oder Plan. Deine Bewertung kannst du jederzeit ändern. Löschst du dein Konto, löschen wir deine Kommentare und Bewertungen mit.

Missbrauchsschutz und Moderation: Damit niemand die Funktionen überlastet, zählen wir je Konto, wie oft in kurzer Zeit bewertet, kommentiert oder gemeldet wird. Beiträge, die gegen Abschnitt 7a der AGB verstoßen, können wir nach einer Prüfung von Hand entfernen. Jeder kann Beiträge melden (Abschnitt W8b).

Downloads zählen: Bei Trainingsplänen aus der Community zählen wir, wie oft jemand „PDF/Drucken“ oder „In Fluxio starten“ anklickt, auch ohne Anmeldung. Öffentlich erscheint nur die Summe. Damit Mehrfachklicks den Zähler nicht treiben, zählt dieselbe IP-Adresse einen Plan höchstens einmal am Tag. Dafür bilden wir aus der IP-Adresse mit einem geheimen Schlüssel einen Kurzwert (HMAC), die IP-Adresse selbst speichern wir nicht.

Öffentliches Profil: In deinem Konto kannst du Anzeigename, Nutzername, Profilbild, Kurztext, Pronomen, Standort und Erfahrungsstufe eintragen. Auf der Website sehen andere davon derzeit nur deinen Anzeigenamen, und zwar an deinen Kommentaren. Die Profilseite unter getfluxio.de/u/ mit deinem Nutzernamen ist zurzeit nicht abrufbar. Schalten wir sie frei, zeigt sie Anzeigename, Nutzername, Profilbild, Kurztext, Erfahrungsstufe und das Jahr deiner Registrierung, Pronomen und Standort nur, wenn du sie im Profil zur Anzeige freigegeben hast. Vorher passen wir diese Erklärung an.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO): Du nutzt eine Funktion deines Kontos. Missbrauchsschutz, Moderation und den Download-Zähler stützen wir auf unser berechtigtes Interesse an einem sicheren Angebot und an ehrlichen Zahlen (Art. 6 Abs. 1 lit. f DSGVO). Die Beiträge liegen bei Supabase (Datenbank und Speicher in der EU-Region Irland, Abschnitt W10).

Inhalt melden: Über das Meldeformular kann jeder, auch ohne Konto, einen Kommentar, ein Foto, ein Profil oder einen anderen Inhalt melden, den er für rechtswidrig oder regelwidrig hält. Wir speichern Art und Fundstelle des Inhalts, den Grund, deine Begründung und den Zeitpunkt des Eingangs. Name und E-Mail-Adresse sind freiwillig. Gibst du eine E-Mail-Adresse an, bestätigen wir dir den Eingang und teilen dir unsere Entscheidung samt Rechtsbehelfen mit; ohne Adresse bekommst du auf der Seite eine Vorgangsnummer. Jede Meldung prüft ein Mensch, eine automatisierte Entscheidung gibt es nicht. Rechtsgrundlage ist unsere rechtliche Verpflichtung, ein Melde- und Abhilfeverfahren bereitzustellen (Art. 6 Abs. 1 lit. c DSGVO, Art. 16 der Verordnung (EU) 2022/2065, Digital Services Act).

Kommentar unter einem Trainingsplan melden: Angemeldet kannst du fremde Kommentare unter einem Trainingsplan auch direkt am Kommentar melden. Wir speichern dazu deine Konto-Kennung, den gemeldeten Kommentar, den Grund, deine freiwillige Anmerkung und den Zeitpunkt. Jede Meldung schicken wir uns über Resend als E-Mail, mit Grund, Anmerkung, Plan, Kommentar und dem Anzeigenamen der Person, die ihn geschrieben hat, aber ohne deinen Namen und deine E-Mail-Adresse. Die Person, die den Kommentar geschrieben hat, erfährt nicht, wer ihn gemeldet hat. Nach drei Meldungen verschiedener Konten blenden wir den Kommentar vorläufig aus. Bis wir ihn geprüft haben, sieht ihn nur noch die Person, die ihn geschrieben hat. Ob er bleibt, entscheidet nach der Prüfung ein Mensch. Rechtsgrundlage ist unser berechtigtes Interesse an einer Community ohne Beleidigungen und Spam (Art. 6 Abs. 1 lit. f DSGVO).

Vertrag widerrufen: Über die Schaltfläche „Vertrag widerrufen“ erklärst du den Widerruf elektronisch. Wir speichern deinen Namen, deine E-Mail-Adresse, den betroffenen Vertrag, das Datum des Vertragsschlusses, falls du es angibst, und den Zeitpunkt des Eingangs. Den Eingang bestätigen wir dir sofort per E-Mail. Über die E-Mail-Adresse ordnen wir den Widerruf deinem Konto zu und wickeln den Vertrag zurück. Rechtsgrundlage ist die gesetzliche Pflicht, eine Widerrufsfunktion bereitzustellen und den Eingang zu bestätigen (Art. 6 Abs. 1 lit. c DSGVO, § 356a BGB), für die Rückabwicklung der Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

Beide Formulare schickt dein Browser an unseren App-Server (app.getfluxio.de, gehostet bei Vercel). Dort begrenzen wir die Zahl der Einsendungen, um Missbrauch zu verhindern; dafür zählen wir mit Prüfwerten (Hashes) deiner IP-Adresse und deiner E-Mail-Adresse, nicht mit den Angaben im Klartext. Gespeichert wird in unserer Datenbank bei Supabase (EU-Region Irland); die Bestätigung verschickt Resend (Abschnitt W10). Die Seite mit dem Meldeformular laden wir ohne Reichweitenmessung, Statistik und Sitzungsaufzeichnung. Im Widerrufsformular sind deine Eingaben für eine Sitzungsaufzeichnung unkenntlich gemacht. Speicherdauer: Abschnitt W12.

Schriftarten und die Bilder der Übersichtsseiten liefern wir von getfluxio.de selbst aus. Rezeptbilder liegen in unserem Speicher bei Supabase. Die Übungsanimationen kommen von exercises.getfluxio.de, einem Speicher bei Cloudflare Inc. (USA).

Ein Teil der Rezeptfotos stammt aus Wikimedia Commons. Wir haben sie in unseren eigenen Speicher übernommen; dein Browser ruft dafür nichts bei Wikimedia ab. Urheber und Lizenzen stehen in den Bildnachweisen.

Rechtsgrundlage ist unser berechtigtes Interesse an einer bebilderten Darstellung (Art. 6 Abs. 1 lit. f DSGVO).

Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, sonst auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). US-Behörden können trotzdem Zugriff verlangen; dieses Restrisiko lässt sich bei US-Anbietern nicht vollständig ausschließen.

Zusätzlich merkt sich der Browser im lokalen Speicher, ob du den Newsletter-Hinweis geschlossen oder den Newsletter bestellt hast, damit er nicht erneut erscheint. Notwendige Einträge brauchen keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG), Statistik schon (§ 25 Abs. 1 TDDDG). Einzelheiten und Widerruf: Cookies.