Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung in dieser Anwendung („Chew"):
Marco Jan, Körösistraße 196, 8010 Graz, Österreich.
E-Mail: contact@walk-buddy.app

2. Welche Daten wir verarbeiten

• Kontodaten: E-Mail-Adresse und ein nicht umkehrbarer Passwort-Hash (bcrypt). Klartext-Passwörter werden nicht gespeichert.
• Bei Google-Anmeldung: deine bei Google hinterlegte E-Mail-Adresse sowie eine eindeutige Google-Kennung (Google-Subject), um dein Konto zuzuordnen.
• Nutzungsdaten der App: von dir erfasste Mahlzeiten/Nährwerte, Wasseraufnahme, Gewichts- und Trainingseinträge, Körpermaße, Tagebuch-Notizen sowie deine Ziel-/Profilangaben. Tagebuch-Notizen werden verschlüsselt gespeichert (symmetrische Verschlüsselung „at rest").
• Von dir hochgeladene Bilder: optionale Fotos zu Übungen (z. B. von Trainingsgeräten) und bis zu drei Bilder pro Tagebuch-Eintrag. Bilder werden beim Upload serverseitig verkleinert und neu kodiert; Metadaten wie EXIF/GPS werden dabei entfernt. Tagebuch-Bilder werden verschlüsselt gespeichert und nur an dein angemeldetes Konto ausgeliefert.
• Geteilter Lebensmittel-Katalog: Legst du ein Lebensmittel an, können dessen reine Produktangaben (Name, Marke, Nährwerte) anonymisiert in einen gemeinsamen Katalog übernommen werden, damit andere Nutzer dasselbe Lebensmittel leichter finden. Dabei wird kein Bezug zu deinem Konto gespeichert (keine Urheber-Kennung); die Einträge sind nicht auf dich rückführbar. Was du isst bzw. in deinen Tag einträgst, bleibt privat.
• Technisch notwendige Cookies: ein Sitzungs-Cookie (Login) und ein CSRF-Schutz-Cookie. Es findet kein Tracking und keine Reichweiten-/Analysemessung statt.

Hinweis zum optionalen Foto-Analyse-Scanner: Dieser läuft ausschließlich lokal auf einem Rechner des Betreibers, ist Administratoren vorbehalten und dient nur dem Befüllen der Nährwert-Datenbank. Dabei verarbeitete Fotos werden nicht dauerhaft gespeichert.

3. Zwecke und Rechtsgrundlagen

• Konto- und App-Daten (inkl. deiner Einträge, Notizen und Bilder) zur Bereitstellung des Nutzerkontos und der App-Funktionen — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Sicherer Betrieb (z. B. Verbindungsdaten, CSRF-/Session-Schutz, Missbrauchsvermeidung) — berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• Google-Anmeldung — deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), siehe Abschnitt 5.

4. E-Mail-Versand / Bestätigung

Zur Bestätigung deiner Registrierung versenden wir eine E-Mail mit einem Bestätigungslink über unseren E-Mail-/SMTP-Dienst (Hetzner Online GmbH, Deutschland). Hierbei werden deine E-Mail-Adresse und der Versandzeitpunkt verarbeitet.

5. Google-Anmeldung (OAuth)

Nutzt du „Mit Google anmelden", wirst du zu Google weitergeleitet und es werden Daten zwischen dir und Google sowie zwischen uns und Google ausgetauscht. Anbieter ist Google Ireland Limited. Details unter policies.google.com/privacy.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch Klick auf „Mit Google anmelden" erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst (z. B. indem du dich künftig mit E-Mail und Passwort anmeldest). Dabei können Daten an Server von Google auch in den USA übermittelt werden; Google stützt solche Übermittlungen auf die EU-Standardvertragsklauseln.

6. Hosting

Die Anwendung wird bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) gehostet. Beim Zugriff fallen technisch bedingt Verbindungsdaten (z. B. IP-Adresse) an, die zur Auslieferung und Absicherung verarbeitet werden.

7. Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten nur weisungsgebunden in unserem Auftrag verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO):

• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) — Server-Hosting und E-Mail-Versand (SMTP).
• Google Ireland Limited — nur bei Nutzung der Google-Anmeldung (siehe Abschnitt 5, inkl. Hinweis zur Datenübermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln).

8. Datensicherheit

Die Übertragung erfolgt verschlüsselt über HTTPS/TLS. Passwörter werden nur als bcrypt-Hash gespeichert, Tagebuch-Notizen und -Bilder zusätzlich verschlüsselt „at rest". Zugriffe sind durch Sitzungs- und CSRF-Schutz abgesichert; auf deine Inhalte kann ausschließlich dein angemeldetes Konto zugreifen.

9. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Von dir gelöschte Einträge und Bilder werden entfernt; bei Konto-Löschung wird das Konto deaktiviert (Soft-Delete), eine vollständige Löschung deiner Daten kannst du jederzeit per E-Mail verlangen.

10. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie ein Beschwerderecht bei der Aufsichtsbehörde. Zuständig ist die Österreichische Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, dsb.gv.at). Wende dich für Anliegen an die oben genannte Kontaktadresse.

Stand: Juni 2026.