TempoLife — Datenschutzerklärung

Verantwortlicher

Verantwortlicher für Ihre personenbezogenen Daten ist:

• Entwickler: TempoLife-Team / Probyte OÜ
• Anwendung: TempoLife (org.tyrnpuu.medix)
• E-Mail: info@tempolife.app
• Website: tempolife.app

Diese Datenschutzerklärung beschreibt, wie die Anwendung TempoLife Ihre personenbezogenen Daten gemäß der Datenschutz-Grundverordnung der EU (DSGVO, Verordnung 2016/679) und dem estnischen Personendatenschutzgesetz erhebt, verwendet, speichert und schützt.

Welche Daten wir erheben

2.1 Konto- und Identitätsdaten

• Name und E-Mail (bei der Registrierung oder über Google Sign-In)
• Profilfoto (optional)
• Geburtsdatum, Geschlecht, Körpergröße, Gewicht — nur wenn Sie diese freiwillig angeben

2.2 Gesundheitsdaten (DSGVO Art. 9 — besondere Kategorie)

• Ernährungstagebücher (Kalorien, Makronährstoffe, Fotos)
• Schritte, körperliche Aktivität, Workouts
• Schlafdauer und -phasen, Aufwachzeit
• Stimmung, Stressniveau und Wohlbefindensnotizen
• Körpergewicht und Fastenfenster
• Herzfrequenz (aus Health Connect)

2.3 Technische Daten

• Gerätetyp, Betriebssystem, App-Version (User-Agent-Header)
• IP-Adresse (Server-Logs, max. 90 Tage gespeichert)
• Sitzungskennung (PHP-Sitzung, CSRF-Token)

2.4 Was wir NICHT erheben

• Standortverlauf oder Hintergrundstandort — die optionale Restaurantsuche verwendet Ihren Standort nur während der Suche und speichert ihn nicht (siehe Abschnitt 2g)
• Gerätekennungen (IMEI, Werbe-ID, MAC)
• Kontakte, Anrufprotokolle, SMS
• Daten aus anderen Apps — mit einer Ausnahme: Wenn Sie Android Health Connect verbinden, lesen wir die Datentypen, die Sie ausdrücklich erlaubt haben (siehe Abschnitt 2a)
• Ihre Fotogalerie — Kamera- und Bildzugriff werden nur für ein Essensfoto verwendet, das Sie selbst aufnehmen oder auswählen (siehe Abschnitt 2b)

Android Health Connect

Unter Android kann TempoLife Gesundheits- und Fitnessdaten aus Health Connect lesen, dem in Android integrierten Datenspeicher. Dies ist vollständig freiwillig. Es wird nichts gelesen, bevor Sie Health Connect in der App verbinden und auf dem Berechtigungsbildschirm von Android für jeden Datentyp einzeln die Erlaubnis erteilen.

Was wir lesen

• Schritte — tägliche Schrittzahlen
• Schlaf — Schlafsitzungen und Schlafphasen (Tief, Leicht, REM, Wach)
• Herzfrequenz — Herzfrequenzmesswerte
• Ruheherzfrequenz — vom Anbieter berechnete Ruheherzfrequenz-Messungen
• Herzfrequenzvariabilität (HRV, RMSSD) — ein Millisekundenwert für Erholungstrends
• Trainingseinheiten — Trainingsart, Beginn, Ende und Dauer
• Körpergewicht — Gewichtsmessungen

Wir fordern ausschließlich Lesezugriff an. TempoLife schreibt nichts nach Health Connect zurück.

Warum die App sie benötigt

Diese Datentypen speisen die zentralen Ansichten der App: Schritt- und Aktivitätssummen, Schlafauswertungen, den Gewichtsverlauf sowie einen eigenen Herz-Bildschirm mit dem aktuellen Messwert, einer persönlichen 28-Tage-Basislinie der Ruheherzfrequenz, Kontext aus Aktivität, Schlaf, Fasten, Meditation und Stimmung, Trainingszonen und Herzfrequenzerholung sowie einer nicht-medizinischen Erholungsübersicht auf Basis von Ruheherzfrequenz, HRV, Schlaf und jüngster Trainingsbelastung. Ohne Health Connect können diese Daten nicht automatisch befüllt werden.

Woher die Daten stammen

Health Connect ist ein Speicher auf Ihrem eigenen Gerät, in den andere Apps und Geräte schreiben — zum Beispiel Samsung Health oder Garmin. TempoLife liest, was bereits in Health Connect vorhanden ist. Die App verbindet sich nicht direkt mit diesen Diensten und kann nichts über die von Ihnen erlaubten Datentypen hinaus sehen. Health Connect selbst läuft auf Ihrem Gerät; die Verbindung sendet Ihre Daten nicht an Google.

Wie viel Verlauf

Wenn Sie zusätzlich den Zugriff auf den Verlauf erteilen, kann TempoLife bis zu den letzten 12 Monaten an Schritt-, Schlaf- und Körpergewichtsdaten lesen. Das Herz-Modul liest für seine Basislinie bis zu 35 Tage Ruheherzfrequenz und HRV sowie bis zu 30 Tage Trainingseinheiten. Ohne Verlaufszugriff begrenzt Health Connect historische Lesevorgänge auf etwa 30 Tage. Da Wearables Tausende von Messwerten erzeugen können, ist der allgemeine Herzfrequenz-Import auf die letzten 7 Tage begrenzt; dichtere Messwerte werden rund um kürzliche Workouts aufbewahrt, um Zonen und die 1-/2-Minuten-Herzfrequenzerholung zu berechnen. Spätere Synchronisierungen lesen nur neue oder geänderte Datensätze mit einer kurzen Überlappung.

Wo sie gespeichert werden

Aus Health Connect gelesene Daten werden über HTTPS/TLS übertragen und in Ihrem eigenen TempoLife-Konto auf unseren Servern in Estland (EU) gespeichert — genau wie von Hand eingegebene Daten. Sie sind nur für Sie sichtbar.

Was wir damit niemals tun

• Health-Connect-Daten werden niemals für Werbung oder Marketing, für personalisierte oder interessenbasierte Werbung oder zum Aufbau von Werbezielgruppen verwendet.
• Sie werden niemals an Werbenetzwerke, Werbeplattformen, Datenhändler oder Informationsweiterverkäufer weitergegeben.
• Sie werden niemals verkauft — an niemanden, zu keinem Zweck.
• Sie werden niemals in ein Analyse- oder Werbeereignis aufgenommen, das die App versendet.
• Sie werden an keinen Dritten für dessen eigene Zwecke weitergegeben.

Zugriff widerrufen

• In der App: Trennen Sie Health Connect in den App-Einstellungen. TempoLife liest dann keine neuen Daten mehr.
• Auf Ihrem Gerät: Android Einstellungen → Health Connect → App-Berechtigungen → TempoLife, wo Sie einzelne Datentypen oder den gesamten Zugriff auf einmal entfernen können. Health Connect führt zudem ein eigenes Protokoll darüber, welche Apps Ihre Daten gelesen haben.

Der Widerruf beendet alle künftigen Lesevorgänge. Bereits synchronisierte Daten verbleiben in Ihrem TempoLife-Konto, damit Ihr Verlauf nicht stillschweigend verloren geht — Sie können ihn jederzeit exportieren (Abschnitt 8), und er wird endgültig gelöscht, wenn Sie Ihr Konto löschen (Abschnitt 8a).

Kamera und Essensfotos

TempoLife bittet aus einem einzigen Grund um Kamerazugriff: eine Mahlzeit zu fotografieren, damit sie automatisch erkannt statt von Hand eingegeben wird. Sie können stattdessen auch ein vorhandenes Bild auswählen. Die Berechtigung wird erst bei der ersten Nutzung der Funktion angefragt, und die App macht niemals Aufnahmen im Hintergrund.

Das Foto verlässt Ihr Gerät

Die Lebensmittelerkennung findet nicht auf Ihrem Telefon statt. Nach Ihrer Bestätigung wird das Foto über HTTPS an einen KI-Bilddienst eines Dritten gesendet — Google (Gemini) als primärer Anbieter, mit Anthropic (Claude AI) als Ausweichlösung — der die erkannten Lebensmittel und ihre geschätzten Nährwerte zurückgibt. Dies ist eine Übermittlung Ihrer Daten an einen Dritten außerhalb der App und erfolgt erst, nachdem Sie im Dialog in der App ausdrücklich zugestimmt haben. Stimmen Sie nicht zu, wird niemals ein Foto gesendet, und Sie können Lebensmittel weiterhin manuell erfassen.

Was mit dem Foto geschieht

• EXIF- und GPS-Metadaten werden entfernt, bevor das Bild gesendet wird.
• Das Foto wird nur im Moment der Anfrage gesendet und danach gemäß unseren Vereinbarungen von den Servern des Anbieters gelöscht (siehe Abschnitt 4).
• Bei gewöhnlicher KI-Verarbeitung werden nur der resultierende Lebensmitteleintrag und die Nährwerte gespeichert. Eine gesondert eingewilligte Kopie für das öffentliche Archiv ist die in Abschnitt 2e beschriebene Ausnahme.
• Essensfotos werden niemals für Werbung verwendet und niemals verkauft.

Einwilligung der anonymen Vorschau und Missbrauchsschutz

Für die Vorschau ohne Konto speichern wir höchstens 2 Tage lang ausschließlich ein mit einem geheimen Schlüssel gebildetes, tagesbezogenes pseudonymes Netzwerksubjekt, die Einwilligungsversion und den Ereigniszeitpunkt. Dieser Datensatz enthält kein Foto, kein KI-Ergebnis, keinen Lebensmitteleintrag, keine Werbekennung und kein Konto und wird niemals mit Marketinganalysen verknüpft. Grundlage des Einwilligungsnachweises sind Ihre Einwilligung je Nutzung und unsere Nachweispflicht (DSGVO Art. 6 Abs. 1 lit. a und Art. 7); die kurze Anfragebegrenzung stützt sich auf unser berechtigtes Interesse, Missbrauch des Dienstes und unverhältnismäßige KI-Kosten zu verhindern (Art. 6 Abs. 1 lit. f).

Da die Vorschau ohne Konto erfolgt, kann dieser Datensatz weder einem Kontoexport zugeordnet noch von uns zuverlässig zur Identifizierung einer Person genutzt werden. Er wird automatisch innerhalb von 2 Tagen gelöscht. Zur Ausübung eines Rechts oder für einen Widerspruch wenden Sie sich an die Adresse in Abschnitt 12; wir erläutern Ihnen diese praktische Einschränkung und erfüllen ein überprüfbares Ersuchen so weit wie möglich.

Sie können den Kamerazugriff jederzeit unter Android Einstellungen → Apps → TempoLife → Berechtigungen widerrufen. Der Rest der App funktioniert normal weiter.

Community und Tempo Feed

Community ist freiwillig. Wenn Sie sie nicht nutzen, werden keine Ihrer Daten mit anderen Nutzenden geteilt.

Was andere sehen können

• Profil: Ihr Anzeigename, das gewählte Emoji, Level und Punkte.
• Bestenliste: Name, Level und Punktesumme. Sie können sich daraus ausblenden (Community → Datenschutz).
• Challenges: Ihre Teilnahme und Ihr Fortschritt bei Challenges, denen Sie beitreten.
• Nachrichten: was immer Sie senden. Nachrichten können nur zwischen Freunden ausgetauscht werden.
• Feed: Beiträge, Stories, Fotos, Umfragen, Kommentare, Reaktionen und Follow-Beziehungen, die Sie erstellen. Für jeden Beitrag und jede Story wählen Sie das Publikum.

Nichts aus Ihren Gesundheitsprotokollen wird automatisch geteilt. Wenn Sie in den Feed-Einstellungen gesondert eine Aktivitätskategorie aktivieren, können Follower eine begrenzte Zusammenfassung sehen, etwa eine Schrittsumme, die Anzahl erfasster Mahlzeiten, Schlaf- oder Fastendauer, einen Erfolg oder dass eine Gewichtserfassung stattgefunden hat. Genaues Gewicht, Tagebuchzeilen, Notizen, Routen, Stimmung, Herzfrequenz und andere Health-Connect-Daten werden nicht angezeigt.

Melden und Blockieren

Jedes Nutzerprofil verfügt über Blockieren und Melden. Blockieren beendet die Interaktion in beide Richtungen. Wenn Sie etwas melden, speichern wir, wer es gemeldet hat, einen Verweis auf den gemeldeten Inhalt und Ihre Begründung, damit wir den Fall prüfen und bei Bedarf Inhalte entfernen oder Konten sperren können.

Speicherdauer

Nachrichten, Feed-Beiträge und andere Community-Inhalte werden aufbewahrt, bis Sie den Inhalt oder Ihr Konto löschen. Stories laufen nach 24 Stunden ab; nicht zugeordnete Feed-Fotos werden in der Regel innerhalb von zwei Stunden entfernt. Das Löschen Ihres Kontos entfernt Ihr Community-Profil, Nachrichten, Medien und Community-Datensätze wie unter „Datenlöschung“ beschrieben.

Daily-Plan-Challenge (100-€-Kampagne)

Die Punkte-Challenge ist freiwillig. Wenn Sie nicht teilnehmen, werden keine Ihrer Daten für die Kampagne verarbeitet.

Welche Daten die Kampagne nutzt

• Bewertungsdaten: der beim Beitritt eingefrorene Mahlzeitenplan, die Erfüllung des Mahlzeitenplans sowie Art und Zeitstempel jeder bestätigten Aktion. Kalorien, Gewicht, Schrittzahl und Schlafdauer erhöhen die Punktzahl nicht.
• Bestenlistendaten: Ihr Anzeigename, die Punktesumme, Punkte für die Mahlzeitentreue, die Anzahl bestätigter Aktionen und aktive Tage. Das Ausblenden aus der Bestenliste (Community → Datenschutz) gilt auch für die Kampagne.
• Im Gewinnfall: Ihre Kontaktdaten (E-Mail) zur Auszahlung des Preises.

Die Kampagne erhebt keine neuen Daten — sie nutzt nur Daten, die Sie ohnehin in der App erfassen — und gibt sie nicht an Dritte oder Werbenetzwerke weiter.

Rechtsgrundlage und Speicherdauer

Kampagnendaten werden auf Grundlage Ihrer Einwilligung (Beitritt) und der Erfüllung der Kampagnenregeln (Vertrag) verarbeitet. Kampagnendatensätze werden bis zur Löschung Ihres Kontos aufbewahrt; auszahlungsbezogene Daten werden für den handelsrechtlich vorgeschriebenen Zeitraum aufbewahrt. In der Ruhmeshalle bewahren wir nur Ihren Anzeigenamen und ein Ergebnis in Kurzform auf.

Optionale öffentliche Veröffentlichung, Aggregate und öffentliche Werkzeuge

Öffentliche Mahlzeitenkarte, Galerie, Foto des Tages und Gewinnspiel

Gewöhnliche KI-Essensfotos werden nicht auf TempoLife-Servern gespeichert. Erst nach einer gesonderten Einwilligung in das öffentliche Webarchiv erstellt der Server eine von Metadaten befreite JPEG-Kopie und eine öffentliche Freigabekarte. Öffentliche Felder können das Foto, den Namen des Lebensmittels, Ihre Beschreibung, den Karteninhalt und das Freigabe-Token umfassen; anonyme Aufruf- und Ratezähler werden nicht als Interaktionskennzahlen veröffentlicht. Die Kopie kann in der Galerie, in von Suchmaschinen indexierten strukturierten Daten und in der Rotation „Foto des Tages“ erscheinen. Die Karte verfällt nach höchstens 90 Tagen; eine automatische Bereinigung entfernt abgelaufene und verwaiste Dateien, wobei eine Betriebsstörung die physische Löschung bis zur nächsten erfolgreichen Bereinigung verzögern kann. Ein Artefakt „Foto des Tages“ ist höchstens 36 Stunden gültig.

Die Teilnahme am Gewinnspiel der betreffenden ISO-Woche und die Anzeige eines Gewinnernamens sind zusätzliche Entscheidungen, die an die genaue genehmigte Fassung der Teilnahmebedingungen, den Hash der wesentlichen Bedingungen und die Ziehungszusage dieser Runde gebunden sind. Eine Teilnahme ist erst möglich, wenn vor der Eröffnung ein einmaliger Hash des Ziehungsgeheimnisses veröffentlicht wurde. Die Prüfung der Teilnahmeberechtigung liest Geburtsdatum, Land und Rolle des Kontos, um das veröffentlichte Mindestalter, die Länderliste und den Ausschluss von Mitarbeitenden durchzusetzen; diese Profilfelder gelangen nicht in das Ziehungsartefakt. Nach dem Ende veröffentlicht die öffentliche Prüfung die Offenlegung des Geheimnisses, eine sortierte Liste pseudonymer Teilnahmeschlüssel, die aus dieser Woche und den Token der öffentlichen Karten abgeleitet sind, den Prüfwert der Liste und den Gewinnerschlüssel; Konto-IDs oder die Quell-Token selbst werden nicht veröffentlicht. Die Einwilligung überträgt sich nicht auf eine andere Woche oder auf geänderte Bedingungen. Sie können einzelne oder alle Einträge in den Einstellungen des öffentlichen Archivs entfernen. Ein Widerruf unterdrückt die Veröffentlichung bei TempoLife sofort und versucht, die JPEG-Datei und die öffentlichen Felder zu löschen; ein Widerrufsvermerk bleibt bis zu 100 Tage bestehen, damit TempoLife-Artefakte den Eintrag nicht erneut veröffentlichen können. Browser, Proxys, Suchmaschinen oder andere Empfänger können eine Kopie behalten, die sie zwischengespeichert haben, während der Eintrag öffentlich war. Bei Löschung des Kontos werden öffentliche Karten und Kopien bei TempoLife sofort entfernt.

Öffentliche Aggregate

Regional- und Aktivitätsaggregate haben eigene Einstellungen. Sie werden nur bei mindestens 20 zustimmenden Konten veröffentlicht und verwenden abgeschlossene oder verzögerte Zeiträume sowie gerundete Klassen. Die Regionaltabelle lässt Punkte und Serien aus. Namen, Kontokennungen, einzelne Mahlzeiten und Gesundheitsdaten gelangen nie in die öffentliche Aggregatausgabe. Ein Widerruf nimmt das Konto von der nächsten Berechnung aus.

Vergleich von Schätzung und Etikett

Ein freiwilliges Paar enthält eine bearbeitbare Kalorienschätzung, den Etikettwert der Verpackung für dieselbe Portion, eine optionale Notiz sowie die Zeitpunkte von Bestätigung und Einwilligung. Das öffentliche Ergebnis umfasst nur den vorangegangenen abgeschlossenen Monat: ein Paar pro beitragender Person, mindestens 100 beitragende Personen, auf 25 abgerundete Zählwerte und auf ganze Einheiten gerundete Kennzahlen. Einzelne Paare werden nicht veröffentlicht. Ein Widerruf mit einem Klick löscht Notiz und Kalorienwerte sofort und lässt bis zur Löschung des Kontos nur einen Prüfvermerk des Widerrufs zurück.

Firefox-Erweiterung und Lebensmittelsuche

Die Erweiterung sendet nur den eingegebenen Suchbegriff oder die Kennung des ausgewählten Lebensmittels an die Lebensmittel-API von TempoLife. Sie sendet keine besuchten Seiten, keine Seiteninhalte, keine Cookies und kein TempoLife-Konto. Firefox speichert bis zu fünf zuletzt verwendete Lebensmittelnamen lokal. Die Sicherheitsprotokolle von TempoLife können den Suchbegriff, die IP-Adresse, den User-Agent und die Zeit der Anfrage für nicht mehr als 90 Tage erhalten.

WordPress-Badge und Google-Play-Bewertungen

Das WordPress-Plugin ruft ausschließlich /counter.php?format=json ab. TempoLife erhält die IP des WordPress-Servers, den User-Agent des Plugins und die Zeit der Anfrage (Sicherheitsprotokolle, bis zu 90 Tage), aber kein Besucher-Cookie, keine Besucher-IP und keine Seiten-URL. Die Bewertungsseite kann den öffentlichen Text einer Bewertung nach Entfernung von Kontaktdaten erneut veröffentlichen, zusammen mit deren Bewertungsstufe und dem Play-Link aus der offiziellen Google Play Android Publisher API; der Name der verfassenden Person wird weggelassen, und Momentaufnahmen, die älter als 72 Stunden sind, werden nicht angezeigt.

Telegram-Portionsrechner

In einem gewöhnlichen Browser nimmt der Rechner keine Verbindung zu Telegram auf. Wird er mit Parametern einer Telegram-Mini-App aufgerufen, lädt er das SDK von Telegram von telegram.org; dadurch erhält Telegram die üblichen Metadaten der Anfrage (einschließlich IP-Adresse und User-Agent) und kann sein JavaScript auf dieser Rechnerseite ausführen. TempoLife liest in diesem Werkzeug weder die Telegram-Identität noch die Init-Data-Felder.

Die optionale Veröffentlichung beruht auf Ihrer Einwilligung (DSGVO Art. 6 Abs. 1 lit. a); Sicherheits- und Betriebsprotokolle beruhen auf dem berechtigten Interesse am Schutz des Dienstes (Art. 6 Abs. 1 lit. f). Ihr Export zur Datenübertragbarkeit enthält Ihre Freigabekarten, verbleibende öffentliche JPEG-Dateien, Vergleichspaare und Widerrufsnachweise.

Schnell-Einrichtungsvariante

Ein neues Konto kann einer Schnell- oder Standard-Einrichtungsvariante zugewiesen werden. Wir speichern nur die Kontoverknüpfung, die Variante, einen aus dem Konto abgeleiteten deterministischen Pseudozufallswert und den Zeitpunkt der Zuweisung, damit dieselbe Person während der gesamten Einrichtung ein einheitliches Erlebnis erhält. Wir erzeugen für diesen Test keine gesonderten Ansichts-, Klick-, Mahlzeiten-, Foto-, Gesundheits-, Werbe- oder Kampagnenereignisse; das Ergebnis wird ausschließlich aus der aggregierten Abschlussquote der bestehenden Profileinrichtung bewertet.

Der Datensatz wird nicht an Google Analytics oder einen anderen Dritten gesendet und nicht für Werbung verwendet. Rechtsgrundlage ist unser berechtigtes Interesse, unnötige Hürden bei der Einrichtung durch einen minimalen, datenschutzfreundlichen Test zu verringern (DSGVO Art. 6 Abs. 1 lit. f); die Abwägung dokumentieren wir vor der Aktivierung. Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, über den Kontakt in Abschnitt 12 Widerspruch einlegen. Eine Zuweisung bei nicht abgeschlossener Einrichtung wird nach 30 Tagen gelöscht, bei abgeschlossener Einrichtung nach 90 Tagen; bei Bearbeitung eines Kontolöschungsantrags wird sie sofort entfernt und ist bis zur Löschung im Datenexport enthalten.

Standort (optional)

Der Standort ist optional und ausgeschaltet, bis Sie ihn selbst einschalten. TempoLife fragt ihn nur ab, wenn Sie unter den Restaurantergebnissen der Lebensmittelsuche auf Meinen Standort verwenden tippen — nie beim Öffnen der App und nie im Hintergrund.

Wofür er verwendet wird

Um die Restaurant-Speisekarten anzuzeigen, die zu Ihrem Aufenthaltsort passen: die Speisekarte des Landes, in dem Sie sich befinden (zum Beispiel die von McDonald’s Estland und nicht die britische), wobei Restaurants in Ihrer Nähe zuerst aufgeführt werden.

Was mit Ihrem Standort geschieht

• Ihr Gerät rundet die Position auf etwa 100 Meter und sendet sie nur während der Suche per HTTPS an unseren Server.
• Unser Server verwendet sie für diese Suche und speichert sie nicht — nicht in Ihrem Konto, nicht in Ihrem Tagebuch und nicht in unseren Protokollen.
• Um zu ermitteln, welche Restaurants in der Nähe sind, fragt unser Server beim öffentlichen Dienst OpenStreetMap (Overpass API, betrieben von FOSSGIS e.V., Deutschland) die Orte im umliegenden Kartenquadrat von etwa 1 km zuzüglich eines Randbereichs ab. Übermittelt wird nur dieses Kartenquadrat, von der eigenen Adresse unseres Servers und ohne Angaben, die Sie oder Ihre genaue Position identifizieren.
• Die Liste der Restaurants in diesem Kartenquadrat sind Kartendaten, keine Daten über Sie. Wir bewahren sie bis zu 14 Tage auf, damit die nächste Suche schnell ist, und löschen sie, wenn dort 60 Tage lang niemand gesucht hat.
• Ihr Gerät merkt sich nur, ob Sie die Funktion ein- oder ausgeschaltet haben.

Ausschalten

Tippen Sie unter den Restaurantergebnissen auf Ausschalten oder entziehen Sie die Berechtigung in Android unter Einstellungen → Apps → TempoLife → Berechtigungen (im Browser: in den Website-Einstellungen). Die Lebensmittelsuche funktioniert weiterhin und verwendet stattdessen das Land Ihres Kontos.

Rechtsgrundlage ist Ihre Einwilligung (DSGVO Art. 6 Abs. 1 lit. a), die Sie durch das Einschalten der Funktion und die Erteilung der Berechtigung geben und die Sie jederzeit wie oben beschrieben widerrufen können. Kartendaten © OpenStreetMap-Mitwirkende (ODbL).

Wie wir die Daten verwenden (Zweck und Rechtsgrundlage)

Lebensmittelsuche: Wenn Sie nach einem Lebensmittel suchen, speichern wir den von Ihnen eingegebenen Text (bis zu 120 Zeichen), die Sprache der App, wie viele Ergebnisse aus unserer eigenen Lebensmitteldatenbank und wie viele aus der Datenbank verpackter Produkte stammten, sowie ob Sie innerhalb der folgenden 15 Minuten ein Lebensmittel gespeichert haben. Dies dient einem einzigen Zweck: die Suchen zu finden, die ohne Ergebnis bleiben, damit wir sie beheben können. Der Datensatz ist mit Ihrem Konto verknüpft, wird nicht an Google Analytics oder einen anderen Dritten gesendet und niemals für Werbung oder Profiling verwendet. Rechtsgrundlage ist unser berechtigtes Interesse an einer Lebensmittelsuche, die tatsächlich Lebensmittel findet (DSGVO Art. 6 Abs. 1 lit. f); Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, über den Kontakt in Abschnitt 12 Widerspruch einlegen. Die Datensätze werden nach 90 Tagen automatisch gelöscht, bei Bearbeitung eines Kontolöschungsantrags sofort entfernt und sind bis zur Löschung im Datenexport der Nutzerin bzw. des Nutzers enthalten.

TempoLife verwendet Ihre Daten niemals für Werbung, Profiling oder den Verkauf an Dritte. Dies gilt insbesondere für Gesundheits- und Fitnessdaten aus Android Health Connect, die niemals für Werbung verwendet, niemals an Werbenetzwerke oder Datenhändler weitergegeben und niemals verkauft werden.

Kein Medizinprodukt

TempoLife ist eine allgemeine Wellness- und Lifestyle-App. Sie ist kein Medizinprodukt und nicht dazu bestimmt, Krankheiten oder gesundheitliche Zustände zu diagnostizieren, zu behandeln, zu heilen oder zu verhüten.

Alles, was die App anzeigt — Trends, Punktwerte, KI-generierte Zusammenfassungen und Coaching-Vorschläge sowie jeder aus Health Connect oder einem verbundenen Tracker gelesene Wert — dient ausschließlich der allgemeinen Information und der Selbstbeobachtung. Es handelt sich nicht um medizinischen Rat; darauf darf weder für Diagnose oder Behandlung noch für das Beginnen, Beenden oder Ändern einer Medikation oder Therapie vertraut werden.

Werte wie Kalorien- und Nährstoffschätzungen aus der Fotoerkennung, Schlafphasen und Herzfrequenzmessungen stammen von Verbrauchersensoren und automatisierten Modellen und können ungenau sein. Wenden Sie sich für medizinischen Rat, Diagnose oder Behandlung stets an qualifiziertes medizinisches Fachpersonal. Rufen Sie im Notfall Ihre örtliche Notrufnummer an (112 in der EU) — verlassen Sie sich nicht auf diese App.

Auftragsverarbeiter

Ihre Daten dürfen ausschließlich von den folgenden Dienstleistern verarbeitet werden, mit denen wir Auftragsverarbeitungsverträge (AVV) geschlossen haben:

Essensfotos werden nur für die jeweilige Anfrage an Google Gemini AI (oder ersatzweise Anthropic Claude AI) gesendet und danach beim Anbieter gelöscht. Über den gewöhnlichen KI-Ablauf in der App ausgewählte Fotos werden nicht auf unseren Servern gespeichert. Ausnahmen sind das gesondert eingewilligte JPEG für das öffentliche Archiv nach Abschnitt 2e sowie ein metadatenfreies temporäres JPEG der optionalen PWA-Teilen-Funktion: Letzteres wird nur für die Übergabe vorgehalten, nicht automatisch an eine KI gesendet und in weniger als 10 Minuten oder unmittelbar nach dem einmaligen Abruf gelöscht. EXIF-/GPS-Metadaten werden entfernt.

Aus Android Health Connect gelesene Daten (Schritte, Schlaf, Körpergewicht, Herzfrequenz, Ruheherzfrequenz, HRV und Workouts) werden in Ihrem TempoLife-Konto auf unseren eigenen Servern in Estland gespeichert. Sie werden niemals an Werbenetzwerke, Werbeplattformen, Datenhändler oder Informationsweiterverkäufer weitergegeben und niemals verkauft. Wenn Sie die optionalen KI-Funktionen nutzen — etwa den KI-Coach oder eine Trendzusammenfassung — können die zur Beantwortung dieser konkreten Anfrage erforderlichen Werte auf Grundlage Ihrer Einwilligung ausschließlich für diese Anfrage an den oben genannten KI-Anbieter gesendet werden. Sie werden niemals für die eigenen Zwecke des Anbieters und niemals für Werbung übermittelt.

Internationale Datenübermittlungen

Einige Dienste (Google Gemini, Anthropic Claude, ElevenLabs) haben ihren Sitz in den Vereinigten Staaten. Daten werden nur auf Grundlage der von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC), des EU-US Data Privacy Framework oder anderer Garantien nach Kapitel V der DSGVO übermittelt.

Mit dem Klick auf „Ich stimme zu“ im Dialog des KI-Dienstes erteilen Sie Ihre ausdrückliche Einwilligung in eine solche Übermittlung (DSGVO Art. 49 Abs. 1 lit. a).

Speicherdauer

Ihre Daten werden nur so lange gespeichert, wie es für die Erbringung des Dienstes erforderlich ist:

• Aktives Konto: Kontodaten werden bis zur Löschung gespeichert, sofern diese Erklärung keine kürzere Frist vorsieht
• Kontolöschung (DSGVO Art. 17): personenbezogene Daten werden sofort anonymisiert; zugehörige Protokolle werden innerhalb von 30 Tagen vollständig gelöscht
• Server-Logs (IP, UA): max. 90 Tage
• E-Mail-Bestätigungscodes: 15 Minuten oder bis zur Verwendung
• Magic-Link-Zugangsdaten: der Link gilt 15 Minuten; die Zeile mit E-Mail-Adresse und Token-Hash wird bei Verwendung, Ersetzung oder innerhalb einer Minute nach Ablauf gelöscht
• Temporäres, über die PWA geteiltes Essensfoto: weniger als 10 Minuten oder bis zum einmaligen Abruf, je nachdem, was zuerst eintritt
• Anthropic-KI-Anfragen: 30 Tage auf den Servern von Anthropic, danach automatisch gelöscht (gemäß Anthropic-AVV)
• Standort (optionale Restaurantsuche): nicht gespeichert — nur während der Suche verwendet; die Restaurantliste je Kartenquadrat von etwa 1 km wird bis zu 14 Tage vorgehalten und enthält keine Nutzerdaten (siehe Abschnitt 2g)

Sicherheit

TempoLife wendet technische und organisatorische Maßnahmen zum Schutz Ihrer Daten an (DSGVO Art. 32):

• Gesamter Datenverkehr über HTTPS/TLS 1.2+
• Passwörter als bcrypt-Hashes gespeichert — niemals im Klartext
• CSRF-Token-Schutz bei allen ändernden Anfragen
• Content Security Policy (CSP), HSTS, X-Frame-Options: DENY
• Android: ausschließlich offizieller Play-Store-Build, mit Keystore SHA-256 signiert
• Datenbank (PostgreSQL) in der EU (Estland) gehostet; Backups verschlüsselt
• Cloud-Backup des Android-Geräts DEAKTIVIERT (android:allowBackup="false")

Ihre Rechte

Nach der DSGVO stehen Ihnen die folgenden Rechte zu, die Sie direkt in der App (Profil → Datenschutz) oder per E-Mail an info@tempolife.app ausüben können:

• Auskunftsrecht (Art. 15) — Sie können alle Ihre Daten in der App einsehen
• Recht auf Berichtigung (Art. 16) — Profilfelder jederzeit bearbeiten
• Recht auf Löschung (Art. 17) — E-Mail an info@tempolife.app
• Recht auf Einschränkung der Verarbeitung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20) — die Schaltfläche „Meine Daten herunterladen“ liefert ein ZIP mit JSON-Exporten
• Widerspruchsrecht (Art. 21)
• Recht auf Widerruf der Einwilligung (Art. 7) — eine Integration oder aggregierte Einstellung deaktivieren oder eine öffentliche Karte bzw. ein Vergleichspaar entfernen; eine Kontolöschung ist dafür nicht erforderlich
• Beschwerderecht — Estnische Datenschutzinspektion: www.aki.ee

So löschen Sie Ihr Konto

TempoLife beachtet Artikel 17 DSGVO (Recht auf Löschung). Um Ihr Konto zu löschen, senden Sie eine E-Mail von der mit Ihrem Konto verknüpften Adresse an info@tempolife.app. Wir löschen das Konto innerhalb von 30 Tagen.

Was mit Ihren Daten geschieht

• Nach der Bearbeitung: Ihre E-Mail-Adresse, Ihr Name, Ihr Profilfoto und alle personenbezogenen Merkmale werden in der Datenbank anonymisiert (z. B. deleted_12345_1714@deleted.tempolife). Ihre Sitzung wird beendet. Eine Anmeldung ist nicht mehr möglich.
• Innerhalb von 30 Tagen: alle Ihre personenbezogenen Gesundheitsdaten (Schritte, Schlaf, Stimmung, Fastensitzungen, Ernährungsprotokolle usw.) werden zusammen mit Altdatensätzen aus entfernten Funktionen endgültig gelöscht.
• Nach 30 Tagen: es verbleibt nichts Identifizierbares über Sie, mit Ausnahme anonymisierter Aggregatstatistiken und gesetzlich vorgeschriebener Prüfprotokolle (IP und E-Mail werden nach 30 Tagen entfernt).

Cookies und lokaler Speicher

TempoLife nutzt standardmäßig nur den Speicher, der für den Betrieb des Dienstes erforderlich ist. Die Werbe- und Analysemessung umfasst Google Analytics 4 (anonyme Seitenaufrufe und Produkt-Funnel-Ereignisse), Google-Ads-Klick- und Kampagnenkennungen, die bis zu 90 Tage gespeichert werden, sowie eine vor der Registrierung gemessene App-Öffnung mit einer zufälligen pseudonymen Kennung. Sie ist standardmäßig aktiviert auf Grundlage unseres berechtigten Interesses zu messen, welche Kampagnen zu Registrierungen führen, und Sie können sie jederzeit in den Messeinstellungen deaktivieren; die oben genannten Kennungen werden dann entfernt. Der App-Öffnungsdatensatz (Plattform, eingeschränkter User-Agent, erste/letzte Öffnung und Anzahl) wird spätestens 90 Tage nach der letzten Öffnung gelöscht. Werbepersonalisierung bleibt stets deaktiviert. Sie können diese Wahl jederzeit in den Messeinstellungen ändern.

• PHPSESSID — Sitzungskennung (HttpOnly, Secure, SameSite=Lax)
• tempolife_ad_consent + tempolife_ad_consent_uid — Ihre Messeinstellung und deren Kontobindung, die verhindert, dass eine Wahl auf einem gemeinsam genutzten Gerät auf ein anderes Konto übergeht
• Google-Ads-Klick-, UTM- und Messkennungen (_gcl_* / _ga*) — nur bei aktivierter Messung, bis zu 90 Tage; dienen der Zuordnung einer Kontoregistrierung und werden beim Deaktivieren der Messung entfernt
• tl_device (bis zu 365 Tage) und tl_dseen (30 Minuten) — nur bei aktivierter Messung, für die pseudonyme Messung von App-Öffnungen vor der Registrierung; werden nach der Kontoverknüpfung oder beim Deaktivieren der Messung entfernt
• Google Analytics 4 — anonyme Seitenaufrufe und Produkt-Funnel-Ereignisse, standardmäßig aktiv (Werbepersonalisierung deaktiviert)
• Restohind-Seitenaufrufe — kochiefreie Zählung der geöffneten Seiten auf restohind.tempolife.app, gemessen mit selbst gehostetem Umami (Seitenadresse, Referrer, Browser, Land). Kein Cookie und keine Werbekennung.
• Nutzungstelemetrie angemeldeter Konten — Sitzungsdauer und besuchte Bildschirme für angemeldete Konten (keine Gäste), zum Betrieb und zur Verbesserung des Produkts; Erstanbieterdaten, 90 Tage, niemals an Google Analytics gesendet
• localStorage — Design, Sprache, Einwilligungskennzeichen
• Service Worker — Offline-Unterstützung und Cache

Datenschutz von Kindern

TempoLife richtet sich an Nutzerinnen und Nutzer ab 16 Jahren. Personen unter 16 Jahren dürfen ohne Einwilligung der Eltern bzw. Erziehungsberechtigten kein Konto anlegen. Erfahren wir, dass wir ohne wirksame Einwilligung Daten einer Person unter 16 Jahren erhoben haben, löschen wir diese unverzüglich.

Änderungen dieser Erklärung

Bei wesentlichen Änderungen dieser Datenschutzerklärung informieren wir Sie mindestens 14 Tage vor Inkrafttreten in der App (Banner oder E-Mail). Die weitere Nutzung nach der Änderung gilt als Zustimmung.

Frühere Fassungen sind auf GitHub archiviert.

Kontakt

• E-Mail: info@tempolife.app
• Website: tempolife.app

Aufsichtsbehörde: Estnische Datenschutzinspektion — www.aki.ee