Datenschutzerklärung

für die App „KernBite" und die zugehörige Server-Infrastruktur

Stand: 07.10.2026 · Version 1.9

Diese Erklärung informiert nach Art. 13, 14 DSGVO über die Verarbeitung personenbezogener Daten bei der Nutzung von KernBite.

§ 1 Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Jose Daniel Encarnacao
Schwetzinger Str. 16
68775 Ketsch
Deutschland
E-Mail: kontakt@kernbite.de

KernBite ist ein privates Projekt einer Einzelperson. Es gibt keine Werbung, keinen Verkauf von Daten und kein Tracking durch Dritte.

§ 2 Grundsätze und Überblick

(1) Datenminimierung. KernBite verarbeitet nur die Daten, die für die Funktion des Dienstes erforderlich sind oder die du freiwillig angibst.

(2) Keine Werbung, kein Tracking. Es werden keine Werbe-, Analyse- oder Tracking-Dienste Dritter eingesetzt. Es findet kein Profiling zu Werbezwecken statt.

(3) Pseudonymität. Als Nutzername ist ein Pseudonym vorgesehen; die Nutzung des Klarnamens ist ausdrücklich unerwünscht (Datenminimierung).

(4) Lokal vor Server. Sensible Auswertungen finden soweit möglich ausschließlich auf deinem Endgerät statt: das Foto oder die CSV-Datei eines InBody-Ausdrucks und die Zwischenergebnisse der Texterkennung verlassen das Gerät nicht. Werte, die du selbst in einen Check-in übernimmst — etwa Schritte aus Health Connect / Apple Health —, gehen mit dem Check-in auf den Server; siehe § 5.

§ 3 Hosting und Server-Standort

(1) Die Server-, Backend- und Synchronisationsinfrastruktur (Datenbank und API) wird bei der

netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe

in einem Rechenzentrum am Standort Nürnberg, Deutschland betrieben. Die Verarbeitung findet damit ausschließlich innerhalb der Europäischen Union statt; ein Drittlandtransfer findet nicht statt.

(2) Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Der Hoster verarbeitet Daten ausschließlich weisungsgebunden zur Bereitstellung der Infrastruktur.

(3) Server-Logs. Beim Zugriff auf die Server-Infrastruktur können technisch notwendige Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt, angefragte Ressource, Statuscode) kurzzeitig verarbeitet werden, um den Betrieb sicherzustellen und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an einem sicheren, störungsfreien Betrieb). Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nach kurzer Zeit gelöscht.

(4) Backend-Technologie. Als Backend kommt eine selbst betriebene Instanz auf Basis von Supabase/PostgreSQL zum Einsatz, die auf der vorgenannten Infrastruktur läuft. Es erfolgt keine Weitergabe an einen davon unabhängigen Dritten.

(5) Schutz vor massenhaften Registrierungen. Vor einer Registrierung stellt der Server eine Rechenaufgabe, die dein Gerät im Hintergrund löst. Das dauert Sekundenbruchteile und erfordert von dir keine Eingabe. Der Zweck ist, das automatisierte Anlegen großer Mengen von Konten zu erschweren. Verarbeitet werden dabei ausschließlich Zufallszahlen und der Zeitpunkt des Ablaufs der Aufgabe; es findet keine Speicherung deiner IP-Adresse statt, es wird kein Cookie gesetzt, es werden keine Geräteeigenschaften ausgelesen und es wird kein Dienst eines Dritten eingebunden. Das Verfahren (ALTCHA) läuft auf demselben Server wie der übrige Dienst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Abwehr missbräuchlicher Registrierungen und im Schutz der Zustellbarkeit der Bestätigungsnachrichten.

§ 4 Verarbeitete Daten, Zwecke und Rechtsgrundlagen

(1) Konto und Authentifizierung. Zur Anmeldung werden E-Mail-Adresse und ein Passwort verarbeitet. Das Passwort wird ausschließlich als kryptografischer Hash gespeichert. Sofern der Zugang über einen Zugangscode erfolgt, wird dieser nur als Hash gespeichert. Zweck: Bereitstellung und Absicherung des Nutzerkontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzungsverhältnis).

(2) Profil- und Bedarfsangaben. Angaben wie Ziel, Aktivitätslevel, Geschlecht (soweit angegeben), Geburtsjahr sowie daraus berechnete Tages- und Wochenwerte. Zweck: rechnerische Umrechnung von Portionen und Nährwerten sowie Planung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

(3) Gesundheitsdaten (besondere Kategorie, Art. 9 DSGVO). Allergien und Unverträglichkeiten, Gesundheitslagen (zum Beispiel Diabetes, Schwangerschaft oder Stillzeit, ärztlich empfohlene nierenschonende Ernährung), Gewicht, Größe, Körperzusammensetzung und weitere Körperwerte sowie (bei aktiver Nutzung) Aktivitäts- und Vitaldaten. Diese Daten gehören zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung erfolgt ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und ausschließlich zu dem Zweck, Rezepte, Swipe-Stapel und Wochenpläne für dich und deinen Haushalt zu filtern sowie Ernährungsziele zu berechnen. Diese Einwilligung erteilst du bei der Registrierung, indem du diese Datenschutzerklärung und die Nutzungsbedingungen bestätigst; der Zeitpunkt der Einwilligung wird in deinem Profil gespeichert. Du entscheidest eigenverantwortlich, ob und welche dieser Daten du eingibst: alle Angaben sind freiwillig, die App funktioniert auch ohne sie. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar, in der App unter „Profil → Gesundheitsdaten" oder durch Nachricht an den Verantwortlichen (§ 1); nach dem Widerruf löschen wir diese Daten.

(4) Ernährungs- und Planungsdaten. Ernährungsziele, Essens- und Einkaufsplanung, Rezept-Favoriten und Aversionen/Unverträglichkeiten. Zweck: Personalisierung der Rezept- und Planungsfunktionen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit Unverträglichkeiten Gesundheitsbezug haben, Art. 9 Abs. 2 lit. a DSGVO (Einwilligung).

(5) Gruppen und Challenges. Nutzername, Gruppenzugehörigkeit und in gemeinsamen Challenges geteilte Werte (z. B. tägliche Check-ins zu Gewicht, Training, Wohlbefinden). Zweck: Durchführung der von dir gewählten Gruppen-/Wettbewerbsfunktion. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Gesundheitsbezug Art. 9 Abs. 2 lit. a DSGVO (Einwilligung durch aktive Teilnahme).

(6) Support-Kommunikation. Wenn du uns kontaktierst, verarbeiten wir die von dir mitgeteilten Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

(7) Warteliste für den geschlossenen Test. Trägst du dich auf kernbite.de für die geschlossene Alpha ein, werden verarbeitet: die angegebene E-Mail-Adresse beziehungsweise Apple-ID, die gewählte Plattform (Android oder Apple), deine Antwort auf die Frage, wie du zu KernBite gekommen bist, die Sprache der aufgerufenen Seite sowie die Zeitpunkte von Eintrag und Bestätigung. Zweck: Einladung zum geschlossenen Test über Google Play beziehungsweise TestFlight; für etwas anderes wird die Adresse nicht verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung wird über einen Link in einer Mail an die angegebene Adresse bestätigt (Double Opt-in) und ist jederzeit mit Wirkung für die Zukunft widerrufbar, ohne Angabe von Gründen, über den Abmeldelink in derselben Mail oder per Nachricht an rechte@kernbite.de. Die Herkunftsadresse wird nicht gespeichert; zur Abwehr massenhafter Einträge wird sie ausschließlich als Prüfwert im Arbeitsspeicher gehalten (Art. 6 Abs. 1 lit. f DSGVO).

(8) Eigene Rezepte. Du kannst eigene Rezepte anlegen (Name, Beschreibung, Zutaten, Zubereitungsschritte, Nährwerte, Kategorie, Portionen, Zubereitungszeit, Sprache) und je Rezept festlegen, wie oft es in deinem Wochenplan erscheinen soll. Eigene Rezepte sind privat. Du kannst sie für deinen Haushalt freigeben; dann sehen die Haushaltsmitglieder den Inhalt, deinen Anzeigenamen und wer im Haushalt das Rezept wie oft eingeplant hat, und sie können es in ihren Plan aufnehmen, kopieren, ausblenden oder melden, nicht bearbeiten. Die Freigabe kannst du jederzeit zurücknehmen. Zweck: Planung und Einkauf für dich und deinen Haushalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Wird ein Rezept gemeldet, kann der Betreiber es sperren; ein gesperrtes Rezept ist für andere unsichtbar und verschwindet aus allen Wochenplänen, du siehst es weiter mit dem Sperrgrund. Jede Sperre, Aufhebung einer Sperre, Löschung und Erledigung einer Meldung durch den Betreiber wird mit Zeitpunkt und interner Notiz in einem nur dem Betreiber zugänglichen Bereich der Datenbank (Schema kernbite_meta) protokolliert; eine Sperre zusätzlich mit dem Sperrgrund, Sperre und Löschung mit einem Schnappschuss des Inhalts. Zweck: Nachvollziehbarkeit der Moderation und Bearbeitung eines Widerspruchs. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

§ 5 Sichtbarkeit in Gruppen und Challenges

Dir ist bewusst, dass Nutzername, Gruppenzugehörigkeit und in gemeinsamen Challenges geteilte Werte für die jeweils berechtigten anderen Nutzer sichtbar sind und von diesen gespeichert oder kopiert werden können. Eine Weiterverbreitung durch Dritte kann technisch nicht verhindert werden. Teile daher nur Werte, mit deren Sichtbarkeit du einverstanden bist.

§ 6 Lokale Verarbeitung: InBody, Garmin, Health Connect / Apple Health

(1) Der Import von InBody-Messungen (Foto/CSV) sowie die Übernahme von Aktivitätsdaten aus Garmin bzw. Health Connect / Apple Health erfolgt (soweit technisch möglich) ausschließlich lokal auf deinem Endgerät. Bilddateien, CSV-Dateien und Zwischenergebnisse der Texterkennung (OCR) verbleiben auf dem Gerät und werden nicht an den Server übertragen und nicht mit anderen Nutzern geteilt.

(2) Health Connect (Android) / Apple Health (iOS): Wenn du es aktivierst, liest die App Schritt- und Aktivitätsdaten lokal aus Health Connect / Apple Health. Die Freigabe erfolgt über die Berechtigungen deines Geräts und ist jederzeit dort widerrufbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO (Einwilligung).

(3) InBody, Garmin und Health Connect / Apple Health sind Angebote Dritter und nicht Bestandteil des Dienstes. Für deren Datenverarbeitung ist ausschließlich der jeweilige Anbieter verantwortlich; es gelten dessen Datenschutzhinweise. Eine geschäftliche Verbindung besteht nicht.

(4) Für lokal gespeicherte Daten ist die Absicherung des Endgeräts (Bildschirmsperre, Verschlüsselung, Updates) sowie die Datensicherung allein Sache des Nutzers. Bei Verlust, Zurücksetzen oder Deinstallation können lokale Daten unwiederbringlich verloren gehen; ein Anspruch auf Wiederherstellung besteht nicht, da der Betreiber diese Daten nicht vorhält.

§ 7 Rezeptbilder (KI-Symbolbilder)

Die in der App angezeigten Rezeptbilder sind KI-generierte Symbolbilder, die vorab (nicht zur Laufzeit) mit einem Bildmodell von Google erstellt und als feste Bilddateien mit der App ausgeliefert werden. Bei der Anzeige dieser Bilder werden keine personenbezogenen Daten an Google übertragen. Es handelt sich um Symbolbilder, die vom tatsächlichen Ergebnis abweichen können.

§ 8 Empfänger und Drittlandübermittlung

(1) Eine Übermittlung personenbezogener Daten an Dritte findet nur statt, soweit dies zur Vertragserfüllung erforderlich ist (Auftragsverarbeitung durch den Hoster, § 3) oder eine gesetzliche Pflicht besteht.

(2) Eine Übermittlung in ein Drittland außerhalb der EU/des EWR findet nicht statt. Die Server stehen in Deutschland (§ 3).

(3) App-Store. Der Bezug der App erfolgt über den jeweiligen App-Store (z. B. Google Play). Für dessen Datenverarbeitung ist der jeweilige Store-Betreiber eigenständig verantwortlich.

§ 9 Speicherdauer und Löschung

(1) Personenbezogene Daten werden nur so lange gespeichert, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

(2) Du kannst dein Konto jederzeit in der App löschen. Mit der Kontolöschung werden die zugehörigen serverseitig gespeicherten Daten gelöscht oder anonymisiert, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. In gemeinsamen Challenges bereits bei anderen Nutzern sichtbar gewordene Werte kann der Betreiber nicht bei Dritten zurückholen (§ 5). Die Löschung läuft in zwei Stufen: Dein Konto wird sofort gesperrt, dein Name ist für andere nicht mehr sichtbar, alle Sitzungen werden beendet und deine E-Mail-Adresse wird sofort freigegeben. Nach 30 Tagen werden die Daten endgültig gelöscht. Diese Frist ist keine gesetzliche Aufbewahrungspflicht (die App führt keine Rechnungs- oder Zahlungsdaten), sondern dient dem Zurückholen einer versehentlichen Löschung und dem Schutz vor Missbrauch; während dieser Zeit ist die Verarbeitung nach Art. 18 DSGVO eingeschränkt.

(3) Hast du eine Gruppe angelegt, wird sie mit deinem Konto gelöscht, einschließlich der Challenges, Ranglisten und Check-ins aller Mitglieder. Der Grund: Wer eine Gruppe anlegt, eröffnet die gemeinsame Verarbeitung der Gesundheitsdaten ihrer Mitglieder und trägt dafür die Verantwortung; ohne dich gäbe es dafür keinen Verantwortlichen mehr. Die App nennt dir vor dem Löschen jede betroffene Gruppe mit Namen und Mitgliederzahl.

(4) Lokal auf dem Endgerät gespeicherte Daten löschst du durch Deinstallation der App oder Löschen der App-Daten.

(5) Warteliste für den geschlossenen Test. Ein Eintrag ohne Bestätigung wird nach 48 Stunden automatisch gelöscht und belegt keinen Platz. Ein bestätigter Eintrag wird gelöscht, sobald der geschlossene Test abgeschlossen ist, spätestens jedoch zwölf Monate nach der Bestätigung; danach löscht ihn der Dienst ohne weiteres Zutun. Vorher kannst du ihn jederzeit selbst über den Abmeldelink in der Bestätigungsmail löschen. Diese Löschung wirkt nur für diese Liste: Bist du bei Google Play oder Apple TestFlight bereits als Tester eingetragen, wird das dort nicht automatisch mitgelöscht, denn dafür sind die Store-Betreiber eigenständig verantwortlich (§ 8 Absatz 3). Auf Nachricht an alpha@kernbite.de nehme ich dich dort heraus.

(6) Eigene Rezepte bei Kontolöschung. Mit der ersten Stufe der Löschung (Absatz 2) sind deine für den Haushalt freigegebenen Rezepte für die Mitglieder nicht mehr sichtbar; in ihren Wochenplänen steht an dieser Stelle ein Platzhalter. Mit der endgültigen Löschung nach 30 Tagen werden deine Rezepte mit Zutaten und Häufigkeitswünschen gelöscht; Kopien, die ein Mitglied vorher als eigenes Rezept angelegt hat, gehören diesem und bleiben. Das Moderationsprotokoll nach § 4 Absatz 8 bleibt nach der Kontolöschung erhalten, solange es zur Abwehr wiederholter Verstöße und als Nachweis erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO); es enthält keine E-Mail-Adresse.

(7) Verkauf des Dienstes. Veräußert der Betreiber die App, die Serverinfrastruktur oder die daran bestehenden Rechte ganz oder im Wesentlichen an einen Dritten (§ 18 Absatz 7 der Nutzungsbedingungen), sind deine Daten nicht Gegenstand der Veräußerung und gehen nicht auf den Erwerber über. Der Betreiber kündigt die Veräußerung mindestens sechs Wochen vorher in der App und per E-Mail an. Mit ihrem Wirksamwerden endet das Nutzungsverhältnis, und alle serverseitig gespeicherten Daten werden nach Maßgabe von Absatz 2 gelöscht. Innerhalb der Ankündigungsfrist kannst du deine Daten in der App unter Profil exportieren (Art. 20 DSGVO).

§ 10 Deine Rechte

Du hast nach der DSGVO folgende Rechte:

• Auskunft über die zu deiner Person verarbeiteten Daten (Art. 15).
• Berichtigung unrichtiger Daten (Art. 16).
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18).
• Datenübertragbarkeit (Art. 20).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung genügt eine formlose Nachricht an kontakt@kernbite.de.

§ 11 Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Lautenschlagerstraße 20, 70173 Stuttgart.

Du kannst dich auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts wenden.

§ 12 Keine automatisierte Entscheidungsfindung

(1) Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung nach Art. 22 DSGVO findet nicht statt. Die App führt lediglich rechnerische Umrechnungen anhand deiner Angaben durch; die Entscheidung über deren Nutzung triffst allein du.

(2) Kein Einsatz von KI-Diensten auf deine Daten. Deine personenbezogenen Daten werden derzeit nicht an Dienste künstlicher Intelligenz übermittelt und nicht zum Training solcher Systeme verwendet. Die Rezeptbilder nach § 7 sind davon nicht betroffen: sie wurden vorab erzeugt und enthalten keine Nutzerdaten.

(3) Sollte künftig eine Funktion eingeführt werden, die personenbezogene Daten mit Hilfe von KI-Diensten verarbeitet, wird diese Datenschutzerklärung vorher entsprechend geändert und der Zweck, die Rechtsgrundlage sowie der eingesetzte Anbieter benannt. Eine solche Verarbeitung findet erst nach dieser Änderung und, soweit sie auf einer Einwilligung beruht, erst nach deiner ausdrücklichen Zustimmung statt. Der Betreiber wird dabei Anbieter mit Verarbeitung innerhalb der Europäischen Union bevorzugen.

§ 13 Minderjährige

Der Dienst richtet sich nicht an Kinder. Eine Nutzung setzt das nach den Nutzungsbedingungen erforderliche Mindestalter voraus. Wir verarbeiten wissentlich keine Daten von Personen, die dieses Alter nicht erreicht haben.

§ 14 Datensicherheit

Es werden angemessene technische und organisatorische Maßnahmen getroffen, um Daten gegen unbefugten Zugriff, Verlust und Manipulation zu schützen (u. a. verschlüsselte Übertragung, Speicherung von Passwörtern nur als Hash, Zugriffsbeschränkungen). Ein vollständiger Schutz kann bei der Datenübertragung im Internet jedoch nicht garantiert werden.

§ 15 Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich die Rechtslage, die verarbeiteten Daten oder die Funktionen ändern. Die jeweils aktuelle Fassung ist in der App und unter https://kernbite.de/datenschutz abrufbar.

Stand: 07.10.2026 · Version 1.9 · KernBite