Datenschutzerklärung

2. Geltungsbereich

Diese Datenschutzerklärung gilt für:

• Teil A — die Website bebetr.app
• Teil B — die mobile App „BeBetr" für iOS und Android

Sie informiert dich darüber, welche personenbezogenen Daten wir erheben, wie wir sie verarbeiten und welche Rechte dir zustehen.

3. Rechtsgrundlagen

Die Verarbeitung deiner Daten erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. a — Einwilligung (z.B. für Analytics, Push-Benachrichtigungen)
• Art. 6 Abs. 1 lit. b — Vertragserfüllung (Bereitstellung der App und ihrer Funktionen)
• Art. 6 Abs. 1 lit. f — Berechtigtes Interesse (Crash-Reporting, Sicherheit, betrugssichere Abo-Verwaltung)
• Art. 9 Abs. 2 lit. a — Ausdrückliche Einwilligung für die Verarbeitung von Gesundheitsdaten (Ernährung, Peptid-Logs, Laborwerte, Symptome, Körpermetriken)

Teil A — Website

A.1 Hosting

Unsere Website wird gehostet bei ALL-INKL.COM — Neue Medien Münnich (Hauptstraße 68, 02742 Friedersdorf, Deutschland). Beim Aufruf der Website werden vom Hosting-Anbieter automatisch Server-Logfiles erhoben:

• IP-Adresse (gekürzt, soweit technisch möglich)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL / Referrer-URL
• Browsertyp und -version, Betriebssystem

Diese Daten werden ausschließlich zur Sicherstellung des Betriebs und zur Fehleranalyse verwendet und nach 30 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

A.2 Cookies

Unsere Website verwendet Cookies und ähnliche Technologien. Beim ersten Besuch wird dir ein Cookie-Consent-Banner angezeigt. Nur technisch notwendige Cookies werden ohne Einwilligung gesetzt. Analyse- und Marketing-Cookies werden erst nach deiner ausdrücklichen Zustimmung aktiviert (Opt-in). Du kannst deine Einstellungen jederzeit über den Link „Cookie-Einstellungen" im Footer ändern.

Wir unterscheiden folgende Kategorien:

• Notwendig — Consent-Speicherung (localStorage), Spracheinstellung. Immer aktiv.
• Analyse — Google Analytics 4 (siehe A.5). Nur mit Einwilligung.
• Marketing — Meta Pixel, TikTok Pixel, Google Ads (siehe A.6). Nur mit Einwilligung.

A.3 Schriftarten (lokal gehostet)

Wir verwenden die Schriftart „Geist", die vollständig lokal auf unserem Server gehostet wird. Es findet keine Verbindung zu externen Schriftarten-Diensten (z.B. Google Fonts) statt. Es werden dabei keine personenbezogenen Daten an Dritte übermittelt.

A.4 Kontaktaufnahme

Wenn du uns per E-Mail kontaktierst, speichern wir deine Nachricht, E-Mail-Adresse und ggf. deinen Namen zur Bearbeitung deiner Anfrage. Diese Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist, es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen.

A.5 Webanalyse — Google Analytics 4

Mit deiner Einwilligung verwenden wir Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Der Dienst analysiert das Nutzerverhalten auf unserer Website (aufgerufene Seiten, Verweildauer, Herkunft des Traffics). Dabei werden folgende Daten verarbeitet:

• Gekürzte IP-Adresse (IP-Anonymisierung ist aktiviert)
• Browser, Betriebssystem, Gerätekategorie
• Besuchte Seiten, Verweildauer, Absprungrate
• Ungefährer Standort (Stadt/Land, nicht präzise GPS)
• Pseudonyme Client-ID (Cookie)

Die Daten werden auf Google-Servern in den USA verarbeitet (Grundlage: EU-US Data Privacy Framework). Der Cookie läuft nach 13 Monaten ab. Du kannst die Erfassung jederzeit über den Link „Cookie-Einstellungen" im Footer deaktivieren oder das Browser-Add-on tools.google.com/dlpage/gaoptout verwenden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

A.6 Marketing & Werbung

Mit deiner Einwilligung setzen wir folgende Marketing-Pixel ein, die uns ermöglichen, Werbeanzeigen auszuspielen und deren Wirksamkeit zu messen:

Meta Pixel (Facebook / Instagram)

Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland. Das Meta Pixel erfasst Besuche auf unserer Website und bestimmte Aktionen (z.B. Seitenaufrufe), um Werbeanzeigen auf Facebook und Instagram zielgerichtet auszuspielen und die Conversion zu messen. Dabei wird eine Cookie-ID sowie deine (ggf. gehashte) E-Mail-Adresse verwendet. Die Daten können in die USA übertragen werden (Grundlage: SCCs). Du kannst der Datenverarbeitung durch Meta für Werbezwecke unter facebook.com/settings widersprechen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

TikTok Pixel

Anbieter: TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Irland. Das TikTok Pixel misst Interaktionen auf unserer Website und ermöglicht es, Werbung auf TikTok an relevante Zielgruppen auszuspielen. Dabei werden pseudonymisierte IDs und Verhaltensdaten erhoben. Die Daten können in die USA und weitere Drittländer übertragen werden (Grundlage: SCCs). Widerspruch: TikTok Datenschutz.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Google Ads (inkl. Conversion-Tracking & Remarketing)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Ads ermöglicht die Schaltung von Suchanzeigen und Display-Werbung. Das Conversion-Tracking misst, ob Nutzer nach dem Klick auf eine Anzeige die App herunterladen oder die Website besuchen. Das Remarketing ermöglicht die erneute Ansprache von Website-Besuchern. Dabei werden Cookies und pseudonyme IDs verwendet. Daten werden in den USA verarbeitet (Grundlage: EU-US Data Privacy Framework). Widerspruch: adssettings.google.com.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Hinweis: Alle Marketing- und Analyse-Tools werden erst nach deiner ausdrücklichen Einwilligung über unser Cookie-Banner aktiviert. Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen" im Footer widerrufen.

Teil B — BeBetr App

B.1 Registrierung und Profil

Bei der Registrierung erheben wir:

• E-Mail-Adresse
• Passwort (als Hash gespeichert, nie im Klartext)
• Vorname und Nachname

Optional kannst du im Profil weitere Angaben machen: Geburtsdatum, Geschlecht, Größe, Gewicht, Region, Aktivitätslevel und Gesundheitsziele. Diese Daten dienen der Personalisierung der App-Funktionen.

B.2 Gesundheitsdaten

Die App verarbeitet folgende Gesundheitsdaten, die du aktiv eingibst:

• Mahlzeiten (Fotos, Zutaten, Kalorien, Makronährstoffe)
• Peptid- und Substanz-Logs (Dosierung, Zeitpunkt, Injektionsstellen, Vial-Inventar)
• Blutwerte und Laborergebnisse
• Symptom-Check-ins (Skalen-Bewertungen)
• Gewichtsverlauf und Körpermetriken
• Hydration
• Workouts

Diese Daten werden in unserer Cloud-Datenbank (Supabase, siehe B.6) gespeichert und zusätzlich lokal auf deinem Gerät in einer SQLite-Datenbank als Offline-Cache vorgehalten. Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO — du erteilst deine ausdrückliche Einwilligung im Rahmen des Onboardings.

B.3 KI-gestützte Funktionen

Mahlzeit-Foto-Analyse: Wenn du ein Foto deiner Mahlzeit machst, wird dieses zur Analyse an die Anthropic Claude API (Anthropic PBC, USA) gesendet. Das KI-Modell erkennt Zutaten, schätzt Portionsgrößen und berechnet Nährwerte. Anthropic speichert API-Daten gemäß deren Richtlinien nicht zu Trainingszwecken.

KI-Coach: Der Chat-Coach nutzt ebenfalls die Anthropic Claude API. Deine Fragen werden über Supabase Edge Functions an die API weitergeleitet. Die Konversationen werden in deinem Account gespeichert.

Wichtig: Bei beiden Funktionen werden Inhalte (Fotos, Textnachrichten) an Server in den USA übermittelt. Es werden dabei keine weiteren personenbezogenen Daten (Name, E-Mail etc.) an Anthropic weitergegeben.

B.4 Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Die KI-gestützten Funktionen (Foto-Analyse, Coach) liefern Vorschläge und Schätzungen, keine verbindlichen Entscheidungen. Du kannst jede KI-Auswertung vor dem Speichern bearbeiten oder verwerfen. Es findet kein Profiling im Sinne des Art. 22 DSGVO statt, das rechtliche Wirkung entfaltet oder dich erheblich beeinträchtigt.

B.5 Lebensmittel-Suche und Barcode-Scanner

Die Lebensmittel-Suche und der Barcode-Scanner nutzen die öffentliche Open Food Facts API (Open Food Facts, Frankreich). Dabei werden Suchanfragen und EAN-Codes übermittelt. Es ist kein Account erforderlich; es werden keine personenbezogenen Daten an Open Food Facts gesendet.

B.6 Hosting und Cloud-Datenbank

Alle Nutzerdaten werden in einer Supabase-Datenbank (PostgreSQL) gespeichert. Die Authentifizierung (E-Mail/Passwort, Session-Tokens) läuft ebenfalls über Supabase Auth.

• Datenübertragung: verschlüsselt via TLS
• Speicherung: Encryption at Rest auf Datenbank-Ebene
• Serverstandort (nutzerwählbar): Bei der Registrierung wählst du deinen Datenspeicherort. Deine Daten werden entweder auf Supabase-Servern in der EU (Frankfurt, Deutschland) oder in den USA gespeichert. Bei Wahl des US-Standorts erfolgt die Übertragung auf Grundlage der EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

B.7 Lokale Datenspeicherung

Auf deinem Gerät werden Daten in folgenden Formen gespeichert:

• SQLite-Datenbank (Drift) — Offline-Cache aller App-Daten
• SharedPreferences — Einstellungen (Theme, Onboarding-Status, Coachmarks)
• Secure Storage — Verschlüsselter Speicher für Tokens und Zugangsdaten (Keychain / Keystore)

Diese Daten verlassen dein Gerät nicht, es sei denn, die App synchronisiert sie mit der Cloud-Datenbank.

B.8 Authentifizierung

Die Anmeldung erfolgt über:

• Supabase Auth — E-Mail und Passwort (Hash). Session-Tokens werden verschlüsselt im Secure Storage abgelegt.
• Google Sign-In (optional) — Bei Nutzung werden Google-Account-ID, E-Mail und Name an Google OAuth-Server (Google LLC, USA) übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

B.9 Geräte-Berechtigungen

Die App fragt folgende Berechtigungen an — jeweils nur bei Bedarf und mit deiner Zustimmung:

• Kamera — Mahlzeit-Fotos und Barcode-Scanner für Lebensmittel-EAN
• Fotogalerie — Auswahl bestehender Fotos für das Food-Tracking
• Biometrie (Fingerabdruck / Face ID) — Optionale App-Sperre im Privacy Hub. Biometrische Daten werden ausschließlich lokal auf deinem Gerät verarbeitet (iOS Keychain / Android Keystore) und nie an unsere Server übertragen.
• Benachrichtigungen — Erinnerungen an Einnahmen und Tracking
• Internet — Synchronisation, KI-Funktionen und Lebensmittel-Suche

Es findet keine Integration mit Apple HealthKit oder Google Health Connect statt. Es werden keine Werbe-SDKs, kein Facebook SDK und kein Google Analytics verwendet.

B.10 Push-Benachrichtigungen

Für Push-Benachrichtigungen wird Firebase Cloud Messaging (FCM) von Google verwendet. Dabei wird ein FCM-Token (Geräte-Kennung) an Google-Server (USA) gesendet. Es werden keine Nachrichteninhalte oder Gesundheitsdaten übertragen — nur Zustellungs-Metadaten. Lokale Benachrichtigungen (Erinnerungen) laufen vollständig auf dem Gerät.

B.11 Analytics

Wir verwenden PostHog zur Analyse der App-Nutzung. Dabei werden erhoben:

• Events und Screen-Views (pseudonymisiert)
• Feature-Flags
• Gerätetyp, Betriebssystem, App-Version
• Pseudonyme User-ID (keine Klardaten)

Es werden keine Gesundheitsdaten an PostHog übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst Analytics in den App-Einstellungen deaktivieren.

B.12 Crash-Reporting

Wir verwenden Sentry zur Erkennung und Behebung technischer Fehler. Dabei werden übermittelt:

• Crash-Reports und Stack-Traces
• Gerätemodell, Betriebssystem, RAM

Es werden keine personenbezogenen Gesundheitsdaten an Sentry gesendet — ausschließlich technische Fehlerinformationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

B.13 Zahlungen und Abonnements

Die Zahlungsabwicklung für Premium-Abonnements erfolgt über Apple App Store bzw. Google Play Store. Kreditkarten- oder Bankdaten gelangen nicht an die App oder unsere Server.

Die Abo-Verwaltung (Status, Transaktionen) wird über RevenueCat (RevenueCat Inc., USA) abgewickelt. Dabei wird eine anonyme App-User-ID verwendet. RevenueCat erhält keine Gesundheitsdaten.

B.14 Einwilligungsmanagement

Deine Einwilligung zur Verarbeitung von Gesundheitsdaten wird im Rahmen des Onboardings eingeholt. Du kannst diese Einwilligung jederzeit widerrufen — entweder durch Löschung deines Kontos oder durch Kontaktaufnahme unter office@bebetr.app. Ein Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Teil C — Gemeinsame Bestimmungen

C.1 Drittanbieter und Auftragsverarbeiter

Folgende Drittanbieter erhalten im Rahmen der Nutzung Zugang zu Daten:

Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO. Es werden keine Daten an Dritte zu Werbezwecken weitergegeben.

C.2 Datenübertragung in Drittländer

Einige unserer Auftragsverarbeiter (Anthropic, Google, RevenueCat) haben ihren Sitz in den USA. Die Übertragung personenbezogener Daten erfolgt auf Grundlage von:

• EU-US Data Privacy Framework (soweit der Anbieter zertifiziert ist)
• Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO

Wir stellen sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist.

C.3 Datensicherheit

Wir setzen technische und organisatorische Maßnahmen zum Schutz deiner Daten ein:

• Verschlüsselte Datenübertragung (TLS/HTTPS) für alle Verbindungen
• Encryption at Rest auf Datenbank-Ebene (Supabase PostgreSQL)
• Passwörter werden ausschließlich als kryptographische Hashes gespeichert
• Tokens und Secrets werden im verschlüsselten Gerätespeicher abgelegt (iOS Keychain / Android Keystore)
• Biometrische Daten verlassen nie das Gerät
• Zugriffskontrolle und Prinzip der minimalen Berechtigung (Row Level Security)
• Regelmäßige Überprüfung der Sicherheitsmaßnahmen

C.4 Speicherdauer

• Gesundheitsdaten — Werden gespeichert, solange dein Konto besteht. Du kannst einzelne Einträge jederzeit löschen.
• Account-Daten — Werden nach Konto-Löschung innerhalb von 30 Tagen vollständig entfernt.
• Lokaler Cache — Bleibt auf deinem Gerät, bis du die App deinstallierst oder den Cache manuell löschst.
• Crash-Reports — Werden nach 90 Tagen automatisch gelöscht.
• Analytics-Cookies (Google Analytics) — Cookie läuft nach 13 Monaten ab. Pseudonymisierte Daten werden nach 14 Monaten in Google Analytics gelöscht.
• Marketing-Cookies (Meta, TikTok, Google Ads) — Laufzeit je nach Anbieter zwischen 90 Tagen und 2 Jahren. Wir haben keinen direkten Einfluss auf die Speicherdauer beim jeweiligen Anbieter.
• Server-Logfiles (Website) — Werden nach 30 Tagen gelöscht.
• E-Mail-Korrespondenz — Wird nach Abschluss der Anfrage gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

C.5 Deine Rechte

Du hast gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15) — Welche Daten über dich gespeichert sind
• Berichtigung (Art. 16) — Korrektur unrichtiger Daten
• Löschung (Art. 17) — Löschung deiner Daten („Recht auf Vergessenwerden")
• Einschränkung (Art. 18) — Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20) — Export deiner Daten in einem gängigen Format
• Widerspruch (Art. 21) — Widerspruch gegen die Verarbeitung auf Basis berechtigter Interessen
• Widerruf der Einwilligung (Art. 7 Abs. 3) — Jederzeit mit Wirkung für die Zukunft

Du kannst dein Konto und alle Daten direkt in der App löschen (Profil → Privacy Hub → Konto löschen). Für weitere Anfragen erreichst du uns unter office@bebetr.app.

Darüber hinaus hast du das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
www.dsb.gv.at

C.6 Mindestalter

Die Nutzung von BeBetr ist ab 18 Jahren zulässig. Aufgrund der Art der verarbeiteten Daten (Peptide, Substanz-Tracking, Injektionsstellen) richtet sich die App ausschließlich an volljährige Nutzer.

C.7 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren — etwa bei neuen Funktionen oder geänderten rechtlichen Anforderungen. Wesentliche Änderungen werden dir per App-Benachrichtigung oder E-Mail mitgeteilt. Die jeweils aktuelle Version findest du unter bebetr.app/datenschutz.

C.8 Kontakt

Bei Fragen zum Datenschutz erreichst du uns unter:
Onfidence GmbH
Forstbergstrasse 18, 4470 Enns
office@bebetr.app

2. Scope

This Privacy Policy applies to: Part A — the website bebetr.app; Part B — the BeBetr mobile app for iOS and Android.

3. Legal bases

• Art. 6(1)(a) GDPR — Consent (e.g. analytics, push notifications)
• Art. 6(1)(b) GDPR — Contract performance (provision of app features)
• Art. 6(1)(f) GDPR — Legitimate interest (crash reporting, security, subscription management)
• Art. 9(2)(a) GDPR — Explicit consent for health data (nutrition, peptide logs, lab values, symptoms, body metrics)