Datenschutzerklärung

Stand: 21. September 2026

1. Verantwortlicher

2. Worum es bei NuriFlow geht

NuriFlow unterstützt dich beim Erfassen von Mahlzeiten, Nährwerten, Körperwerten und Aktivitätsdaten. Die App ist kein Medizinprodukt und ersetzt keine ärztliche oder ernährungstherapeutische Beratung.

3. Verarbeitete Daten und Zwecke

Account und Anmeldung

Beim ersten Start wird eine zufällige Firebase-Nutzer-ID erzeugt. Wenn du deinen Account mit Apple, Google oder einem E-Mail-Link sicherst, werden zusätzlich die vom jeweiligen Anbieter übermittelten Accountdaten wie E-Mail-Adresse und Anbieterkennung verarbeitet. Das dient der Anmeldung, Accountsicherung und Zuordnung deiner Daten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Ernährungs- und Profildaten

Verarbeitet werden deine freiwilligen Angaben, insbesondere Mahlzeiten, Rezepte, Nährwerte, Ziele, Profil- und Körperwerte sowie App-Einstellungen. Diese Daten werden benötigt, um Tagebuch, Auswertungen und von dir angeforderte Funktionen bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Soweit Angaben Gesundheitsdaten erkennen lassen, erfolgt die Verarbeitung auf Grundlage deiner ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 Buchst. a DSGVO. Du kannst die Nutzung jederzeit beenden und deine Einwilligung mit Wirkung für die Zukunft widerrufen. Vor dem Onboarding fragen wir diese Einwilligung ausdrücklich ab und speichern Einwilligungsversion und Zeitpunkt. NuriFlow ist für Personen ab 16 Jahren vorgesehen. Da diese Datenverarbeitung für die Kernfunktionen erforderlich ist, kannst du die Einwilligung durch Löschen deines Kontos widerrufen.

Spracheingabe

Die optionale Diktierfunktion fordert ausschließlich Spracherkennung auf dem Gerät an. NuriFlow übermittelt die Audioaufnahme nicht an das eigene Backend. Ist die gerätelokale Erkennung für Sprache oder Gerät nicht verfügbar, startet die Diktierfunktion nicht. Der erkannte Text wird erst wie eine manuelle Texteingabe verarbeitet, wenn du die entsprechende Funktion absendest.

Wassertracking und Trink-Erinnerungen

Freiwillig eingetragene Trinkmengen, Eintragszeitpunkte, Wasserziele und Wassereinstellungen werden deinem Konto zugeordnet in Firebase gespeichert. Du kannst Einträge korrigieren oder löschen. Die Kontolöschung umfasst auch diese Daten. Trink-Erinnerungen sind freiwillig, werden lokal auf deinem Gerät geplant und lassen sich in den Wassereinstellungen deaktivieren.

Wenn du smarte Wasserziele ausdrücklich aktivierst, wird verfügbare aktive Energie aus der verbundenen Health-Quelle zur Zielberechnung an unser Backend übertragen. Der Energiewert wird dabei nicht gespeichert; gespeichert werden Tagesziel, begrenzter Aktivitätszuschlag und die aktive Anpassung. Wassertracking und smarte Anpassung kannst du jederzeit ausschalten. Bei einem von dir angeforderten Pro-Wochen-Check können zusammengefasste Wasseraufnahmen und Zielerreichungen an den KI-Dienstleister übermittelt werden. Einzelne Wasser-Einträge werden nicht an den KI-Dienstleister gesendet. Trinkmengen, Ziele und Aktivitätswerte werden nicht an Analytics übermittelt.

Apple Health und Health Connect

Wenn du die Verbindung ausdrücklich aktivierst, liest NuriFlow nur die in der Systemabfrage freigegebenen Werte, etwa Gewicht, Körperfett, Schritte, aktive Energie und Ruheenergie. Die Berechtigung kannst du jederzeit in den Systemeinstellungen widerrufen. Aus Apple Health beziehungsweise Health Connect gelesene Werte werden für die Anzeige und Berechnung in der App verwendet und nicht zu Werbezwecken genutzt. NuriFlow schreibt derzeit keine Gesundheitsdaten in diese Dienste.

KI-Funktionen

Wenn du eine KI-Funktion bewusst startest, werden die von dir eingegebenen Texte oder ausgewählten Bilder über geschützte Firebase-Funktionen an OpenAI übermittelt, damit die gewünschte Analyse oder ein Vorschlag erzeugt werden kann. OpenAI verarbeitet diese Inhalte in unserem Auftrag als API-Dienstleister. Die API-Anfragen werden mit deaktivierter Anwendungsspeicherung (store: false) gesendet und nicht zum Training der Modelle verwendet. OpenAI kann begrenzte Missbrauchsüberwachungsprotokolle grundsätzlich bis zu 30 Tage vorhalten. Temporäre Analysebilder werden nach der serverseitigen Verarbeitung gelöscht. Wochenberichte verwenden soweit möglich zusammengefasste Nährwertdaten. Rechtsgrundlage ist die Vertragserfüllung nach Art. 6 Abs. 1 Buchst. b DSGVO und, soweit besondere Kategorien personenbezogener Daten betroffen sind, deine ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 Buchst. a DSGVO.

Produktkatalog

Wenn du ein Produkt zur Prüfung einreichst, werden Barcode, Produkt- und Nährwertangaben sowie von dir ausgewählte Produktfotos gespeichert. Nach redaktioneller Freigabe können Produktinformationen und dafür vorgesehene Produktbilder im gemeinsamen Katalog für andere angemeldete Nutzer sichtbar werden. Reiche keine Fotos mit Personen oder privaten Informationen ein.

Externe Lebensmitteldatenbanken

Wenn der interne Katalog und Open Food Facts keinen ausreichend sicheren Treffer liefern, kann der erkannte Lebensmittelsuchbegriff zusammen mit Sprache und Region an die fatsecret Platform API übermittelt werden. Bilder, Accountkennungen und vollständige Tagebucheinträge werden dabei nicht an fatsecret übertragen.

Pro-Abos und kostenlose Freischaltungen

Käufe werden ausschließlich über Apple oder Google abgewickelt. RevenueCat verarbeitet hierfür eine technische Nutzerkennung, Produkt-, Store- und Laufzeitinformationen. Zahlungsdaten wie vollständige Karten- oder Kontodaten erhalten wir nicht. In Firebase wird gespeichert, ob und wie lange Pro freigeschaltet ist. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO; gesetzlich erforderliche Abrechnungsinformationen werden gemäß Art. 6 Abs. 1 Buchst. c DSGVO verarbeitet.

Produkt-Analytics und Kampagnenzuordnung

NuriFlow verarbeitet eigene, zusammengefasste Produktmetriken, um etwa App-Starts, abgeschlossene Registrierungen, verwendete Eingabewege, Paywall-Aufrufe und Kampagnenerfolg zu verstehen. Dabei wird das Ereignis serverseitig dem eingeloggten technischen Konto zugeordnet und anschließend in Tageszählern zusammengefasst. Kampagnen- und Influencer-Codes können dem Konto zugeordnet werden. Essensfreitexte, konkrete Mahlzeiten, Fotos, Nährwerte, Körper- und Gesundheitsdaten werden nicht an diese Produktmetriken übermittelt. Referral-Aufrufe werden mit einem täglich wechselnden Hash aus begrenzten technischen Angaben entdoppelt; diese Einzelereignisse werden nach 30 Tagen gelöscht. Die Verarbeitung dient der Verbesserung und wirtschaftlichen Auswertung des Produkts auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO.

Zusätzlich kannst du in der App freiwillig Firebase Analytics erlauben. Erst nach deiner Zustimmung werden pseudonyme App-Ereignisse, technische Plattform- und Tarifangaben sowie Kampagnenkennungen an Google übermittelt. Essensfreitexte, Fotos, Nährwerte, Körper- und Gesundheitsdaten sind davon ausgeschlossen. Du kannst diese Einwilligung jederzeit im Profil widerrufen; anschließend wird die Erfassung deaktiviert und die lokale Analytics-Kennung zurückgesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO.

Auf der öffentlichen Website wird Google Analytics 4 ausschließlich nach deiner ausdrücklichen Zustimmung geladen. Dabei können Seitenaufrufe, Kampagnenparameter, Store-Klicks, technische Browserinformationen und Analytics-Cookies verarbeitet werden. Die IP-Adresse wird bei der Erfassung zur groben Standortbestimmung verwendet und vor der Protokollierung verworfen. Werbe- und Personalisierungssignale bleiben deaktiviert. Ohne Zustimmung wird kein Google-Analytics-Tag geladen. Deine Auswahl wird für sechs Monate lokal im Browser gespeichert und kann über „Cookie-Einstellungen“ im Seitenfuß jederzeit geändert werden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.

Sicherheit und Missbrauchsschutz

Firebase App Check kann technische Geräte- und Integritätsnachweise von Apple oder Google verarbeiten. Zusätzlich werden begrenzte technische Fehler-, Sicherheits- und Nutzungskontingentdaten verarbeitet, um die App zu schützen, Fehler zu beheben und Missbrauch zu verhindern. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und wirtschaftlichen Betrieb des Dienstes.

4. Empfänger und Dienstleister

• Google Firebase und Google Analytics: Anmeldung, Datenbank, Dateispeicher, Cloud Functions, App Check, Hosting und – nur nach Einwilligung – Nutzungsanalyse.
• OpenAI: Verarbeitung bewusst gestarteter KI-Anfragen.
• fatsecret: Abruf von Lebensmitteln und Nährwertangaben als nachgelagerter Datenbank-Fallback.
• RevenueCat: Verwaltung und Synchronisierung von Pro-Berechtigungen.
• Apple beziehungsweise Google: Anmeldung, In-App-Käufe, Geräteintegrität und – nur nach deiner Freigabe – HealthKit oder Health Connect.

Soweit Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie den EU-Standardvertragsklauseln. Es gelten ergänzend die Datenschutzhinweise des jeweiligen Dienstleisters.

5. Speicherdauer

Account- und Tagebuchdaten werden grundsätzlich gespeichert, solange dein Account besteht. Einzelne Einträge kannst du in der App löschen. Deinen Account und die zugehörigen privaten App-Daten kannst du im Profil unter „Hilfe & Rechtliches“ direkt löschen. Dabei werden auch technische Ratenbegrenzungsdaten und deine personenbezogene Kampagnenzuordnung gelöscht. Bereits redaktionell freigegebene, globale Katalogdaten bleiben ohne Zuordnung zu deinem gelöschten Account erhalten. Ein laufendes App-Store-Abonnement musst du zusätzlich beim jeweiligen Store kündigen. Temporäre KI-Uploads werden unmittelbar nach der Verarbeitung gelöscht; abgebrochene Upload-Sitzungen laufen spätestens nach drei Tagen ab. Nicht abgeschlossene Katalogeinreichungen laufen nach spätestens 90 Tagen ab. Referral-Einzelereignisse werden 30 Tage gespeichert. Freigegebene Katalogdaten können ohne Kontozuordnung zur Nachvollziehbarkeit von Änderungen länger gespeichert werden. Kauf- und Berechtigungsdaten werden solange gespeichert, wie dies für Vertragsabwicklung, Betrugsprävention und gesetzliche Nachweispflichten erforderlich ist. Zur vollständigen Löschanfragen oder Rückfragen kannst du zusätzlich an die oben genannte Support-Adresse senden.

6. Deine Rechte

Du hast nach Maßgabe der DSGVO insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit.

7. Keine Werbung und keine automatisierte Entscheidung

NuriFlow verwendet deine Gesundheits- und Ernährungsdaten nicht für personalisierte Werbung. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne des Art. 22 DSGVO statt. KI-Ausgaben sind unverbindliche Schätzungen.

8. Änderungen

Diese Erklärung wird angepasst, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.