Datenschutzerklärung

1. Verantwortlicher

Ein Datenschutzbeauftragter ist aufgrund der Unternehmensgröße derzeit nicht bestellt (Art. 37 DSGVO). Für datenschutzrechtliche Anfragen wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Welche Daten verarbeiten wir?

Wir verarbeiten folgende personenbezogene Daten:

• Kontodaten: Name, E-Mail-Adresse, Passwort (gehasht), Business-Name, Business-Adresse (Slug) bei der Registrierung
• Business-Daten: Business-Name, Adresse, Telefonnummer, Logo, Leistungen, Verfügbarkeiten
• Kundendaten des Business: Name, E-Mail, Telefon, Geburtsdatum, Adresse, Tags, Notizen
• Gesundheitsdaten (Art. 9 DSGVO): Anamneseformulare, Ernährungspläne, Fortschrittsdokumentation, vom Ernährungsberater hinterlegte Ernährungs-Merkmale, die eine Kund:in meidet (z. B. Unverträglichkeiten), zur automatischen Ausblendung unpassender Rezepte
• Buchungsdaten: Termine, Status, Stornierungsgründe
• Zahlungsdaten: Stripe-Kundennummer, Abonnement-Status, Zahlungsmethode (Kreditkarten- und Bankdaten werden ausschließlich bei Stripe gespeichert)
• Kommunikationsdaten: E-Mail-Zustellstatus, Newsletter-Anmeldungen, Erinnerungspräferenzen, Nachrichteninhalte (Text, Fotos, Dateien), Zeitstempel, Lesestatus
• Inhaltsdaten: Blog-Beiträge, Rezepte, Programme, Lektionen (inkl. Anhänge und Quiz-Antworten), Dokumente, eigene Notizen und Aufgaben im Dashboard
• Nutzungsdaten: IP-Adresse, Browsertyp, Zugriffszeitpunkt, Fehlerprotokolle

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO: Verarbeitung zur Vertragsdurchführung (Bereitstellung der Software, Abonnement, Zahlungsabwicklung)
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z. B. Anamneseformulare, Newsletter-Anmeldung)
• Art. 9 Abs. 2 lit. a DSGVO: Ausdrückliche Einwilligung für Gesundheitsdaten. Diese Einwilligung holt der Ernährungsberater als Verantwortlicher bei seinen Kund:innen ein — unsere Formular-Vorlagen enthalten dafür derzeit kein vorgefertigtes Zustimmungsfeld; der Ernährungsberater ergänzt es bei Bedarf selbst in seiner Vorlage.
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung (steuerliche Aufbewahrungspflichten — je nach Sitz § 132 BAO in Österreich, § 147 AO in Deutschland, Art. 958f OR in der Schweiz)
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (Sicherheit, Fehlerüberwachung, Missbrauchsverhinderung)

4. Auftragsverarbeiter und Hosting

Wir setzen folgende Dienstleister als Auftragsverarbeiter gemäß Art. 28 DSGVO ein. Der Einsatz erfolgt jeweils auf Grundlage des Auftragsverarbeitungsvertrags (AVV) des Anbieters. Den aktuellen Stand zu einem einzelnen Anbieter können Sie jederzeit unter [email protected] anfragen.

Kreditkarten- und Bankdaten werden ausschließlich bei Stripe gespeichert und verarbeitet. Wir haben keinen Zugriff auf vollständige Zahlungsmittelinformationen.

5. Datenübermittlung in Drittländer

Einige unserer Auftragsverarbeiter haben ihren Sitz in den USA. Die Übermittlung personenbezogener Daten erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (DPF) gemäß Art. 45 DSGVO (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023).

Cloudflare, Resend, Stripe und Google sind beim U.S. Department of Commerce unter dem Data Privacy Framework zertifiziert. Ergänzend bestehen Standard-Vertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO als zusätzliche Schutzmaßnahme. Für OpenAI und ClickUp stützt sich die Übermittlung auf Standard-Vertragsklauseln. Sentry verarbeitet unsere Fehlerdaten in der EU-Region (Deutschland) — insoweit findet keine Übermittlung in ein Drittland statt. Da eine DPF-Zertifizierung entzogen werden kann, überprüfen wir sie in regelmäßigen Abständen.

Die Kerndatenbank mit allen Business-, Kunden- und Gesundheitsdaten wird ausschließlich in Frankfurt, Deutschland (EU) bei Supabase gehostet.

6. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies für die Authentifizierung, Sitzungsverwaltung und Fehlerüberwachung. Es werden keine Tracking-Cookies oder Werbe-Cookies eingesetzt. Für technisch notwendige Cookies ist keine Einwilligung erforderlich, daher gibt es dafür auch keine Auswahl — unser Cookie-Hinweis ist eine Information. Einstellbar ist genau ein Punkt: der Widerspruch gegen die anonyme Reichweitenmessung (siehe unten), erreichbar über den Link „Cookie-Einstellungen" in der Fußzeile.

Essenzielle Cookies (immer aktiv)

Fehlerüberwachung (Sentry)

Zur Sicherstellung der Stabilität und Qualität unserer Anwendungen setzen wir Sentry als Fehlerüberwachungsdienst ein; die Verarbeitung erfolgt in der EU-Region (Deutschland). Sentry erfasst technische Fehlerprotokolle (Fehlermeldung, Programmablauf, Browser- bzw. Geräte- und Versionsangaben). Eine Sitzungsaufzeichnung (Session Replay) findet nicht statt — diese Funktion wurde am 23.07.2026 in allen unseren Anwendungen vollständig deaktiviert.

Die Option sendDefaultPii: false ist gesetzt: Sentry erhält dadurch keine IP-Adresse, keine Anfrage-Header und keine Cookies. Im Coach-Portal übermitteln wir jedoch bewusst die Nutzerkennung und die E-Mail-Adresse des angemeldeten Ernährungsberaters, damit ein Fehlerbericht einem Konto zugeordnet werden kann — ohne diese Zuordnung ist eine Fehlersuche praktisch nicht möglich. In der Kund:innen-App und auf den öffentlichen Websites findet keine solche Zuordnung statt. Inhalte aus Kund:innendaten — Anamnese-Antworten, Chat-Nachrichten, Dokumente — übermitteln wir nicht an Sentry.

Sentry wird als essenzielle Technologie auf Grundlage unseres berechtigten Interesses an der Fehlerbehebung und Betriebssicherheit eingesetzt (Art. 6 Abs. 1 lit. f DSGVO).

Analyse & Statistik

Wir setzen kein Google Analytics und keine vergleichbaren Werkzeuge ein; es findet keine Sitzungsaufzeichnung und kein Werbe-Tracking statt. Wir bilden keine Nutzungsprofile und geben keine Daten zu Werbezwecken weiter.

Um zu sehen, welche Seiten unseres Auftritts aufgerufen werden, nutzen wir Cloudflare Web Analytics. Dabei wird ein kleines Skript (beacon.min.js von static.cloudflareinsights.com) geladen, das über die Performance-Schnittstelle des Browsers Kennzahlen wie aufgerufene Seite, Verweis-Adresse, Ladezeit, Gerätetyp und Herkunftsland (auf Länderebene) ermittelt. Cloudflare gibt für diesen Dienst an, keine Informationen auf Ihrem Endgerät zu speichern oder auszulesen — also keine Cookies und keinen Local Storage — und Besucher:innen nicht anhand von IP-Adresse oder Browser-Kennung wiederzuerkennen („Fingerprinting"). Es entstehen ausschließlich aggregierte Statistiken; eine Zuordnung zu Ihrer Person ist uns nicht möglich.

Da nicht auf Ihr Endgerät zugegriffen wird, ist hierfür keine Einwilligung nach § 25 TDDDG bzw. § 165 TKG 2021 erforderlich; Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Auswertung der Seitennutzung (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist ohnehin unser Hosting- und CDN-Dienstleister (Abschnitt 4) und verarbeitet Ihre IP-Adresse bereits zur Auslieferung der Seite. Sie können der Auswertung jederzeit widersprechen (Art. 21 DSGVO) — per Nachricht an [email protected] oder indem Sie das Skript mit einem Inhaltsblocker in Ihrem Browser unterbinden.

Zusätzlich messen wir die Reichweite der Coach-Websites selbst — cookielos und ohne Drittanbieter; Einzelheiten im nächsten Abschnitt. Sollten wir künftig einen weiteren Analyse-Dienst einführen, weisen wir ihn hier aus und aktivieren ihn, soweit er einwilligungsbedürftig ist, erst nach Ihrer ausdrücklichen Einwilligung.

Rechtsgrundlage für essenzielle Cookies: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Funktionsfähigkeit und Sicherheit der Anwendung) sowie § 165 Abs. 3 TKG 2021 (unbedingt erforderliche Cookies).

Reichweitenmessung der Coach-Websites (cookielos)

Auf den öffentlichen Websites unserer Ernährungsberater messen wir die Reichweite ohne Cookies und ohne Dienste von Drittanbietern. Beim Seitenaufruf wird serverseitig aus IP-Adresse, Browser-Kennung (User-Agent) und einem täglich wechselnden, anschließend gelöschten Zufallswert ein nicht umkehrbarer Hash gebildet — ausschließlich, um mehrfache Aufrufe derselben Person am selben Tag als einen Besuch zu zählen. Es werden keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen, keine IP-Adresse dauerhaft gespeichert und keine personenbezogenen Profile gebildet. Gespeichert werden ausschließlich aggregierte Tageszahlen (Aufrufe, Besucher, aufgerufene Seiten); der Tages-Zufallswert wird nach spätestens zwei Tagen automatisch gelöscht.

Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer datensparsamen Reichweitenmessung. Da kein Zugriff auf Ihr Endgerät erfolgt, ist hierfür keine Einwilligung nach § 25 TDDDG bzw. § 165 TKG 2021 erforderlich. Sie können der Reichweitenmessung jederzeit über die Cookie-Einstellungen (Link in der Fußzeile, Schalter „Anonyme Reichweitenmessung") oder per Kontakt (siehe Abschnitt „Verantwortlicher") widersprechen.

7. E-Mail-Kommunikation

Transaktionale E-Mails

Buchungsbestätigungen, Erinnerungen und Systembenachrichtigungen werden über Resend versendet. Diese E-Mails sind für die Vertragsdurchführung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Absender-Domain: email.mybdy.io.

Newsletter

Ernährungsberater können Newsletter an ihre Kunden versenden. Der Versand erfolgt nur an Kunden mit explizitem Marketing-Opt-in. Jeder Newsletter enthält einen HMAC-gesicherten Abmeldelink. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Länder-Anfrage / Warteliste

Interessenten aus Ländern, die wir noch nicht unterstützen, können über ein Formular ihre E-Mail-Adresse und ihr Land angeben, um bei einem Start informiert zu werden. Zweck: Benachrichtigung bei Verfügbarkeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Speicherung bis zum Launch im jeweiligen Land bzw. bis zum Widerruf. Empfänger: intern ([email protected]) sowie Resend als Auftragsverarbeiter.

8. Nachrichtenfunktion / In-App-Chat

Die App bietet eine Nachrichtenfunktion, über die Ernährungsberater und ihre Kunden direkt miteinander kommunizieren können. Ernährungsberater können außerdem Gruppen-Unterhaltungen mit mehreren Kunden anlegen; in einer solchen Gruppe sind der reduzierte Anzeigename (Vorname + erster Buchstabe des Nachnamens) sowie die Nachrichteninhalte jedes Mitglieds für alle anderen Gruppenmitglieder sichtbar. Die Zusammensetzung der Gruppe legt der Ernährungsberater fest; Kunden können eine Gruppe jederzeit über die App verlassen.

Verarbeitete Daten

• Nachrichteninhalte (Text, Fotos, Dateien)
• Zeitstempel (Sende- und Empfangszeitpunkt)
• Lesestatus (gelesen/ungelesen)

Zweck

Kommunikation zwischen Ernährungsberater und Kunde im Rahmen der Ernährungsberatung.

Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Bereitstellung der Kommunikationsfunktion als Bestandteil des Dienstes)
• Art. 9 Abs. 2 lit. a DSGVO: Ausdrückliche Einwilligung für gesundheitsbezogene Inhalte (über die Zustimmung zu den AGB bei der Registrierung)

Speicherort & Sicherheit

Alle Chat-Daten werden bei Supabase auf EU-Servern (Frankfurt, Deutschland) gespeichert. Die Übertragung erfolgt TLS-verschlüsselt, die Speicherung mit AES-256 (encryption at rest).

Speicherdauer & Löschung

Nachrichten werden gespeichert, solange die Beratungsbeziehung aktiv ist. Löschen Sie Ihr App-Konto selbst, bleibt der Chatverlauf als Teil Ihrer Betreuungsakte bei Ihrem Ernährungsberater erhalten — er ist für diese Akte verantwortlich. Ihr Zugang und die Möglichkeit zu antworten entfallen dabei. Einzelne Nachrichten oder der gesamte Chatverlauf können auf Anfrage gelöscht werden (Art. 17 DSGVO).

9. Zahlungsverarbeitung

Die Abonnement-Verwaltung und Zahlungsabwicklung erfolgt über Stripe. Bei Abschluss eines Abonnements werden Sie auf eine von Stripe gehostete Checkout-Seite weitergeleitet. Ihre Zahlungsdaten (Kreditkartennummer, Bankverbindung) werden ausschließlich von Stripe verarbeitet und gespeichert — wir erhalten lediglich eine Referenznummer und den Zahlungsstatus.

Stripe ist PCI DSS Level 1 zertifiziert (höchste Sicherheitsstufe der Kreditkartenbranche) und unter dem EU-U.S. Data Privacy Framework zertifiziert.

Verkäufe zwischen Ernährungsberater und Endkund:in (Stripe Connect)

Verkauft ein Ernährungsberater (Coach) ein Programm oder einen Termin online an seine:ihre Kund:in, fließt die Zahlung via Stripe Connect Direct Charges direkt auf das Stripe-Konto des Coaches. MYBDY Nutrition ist nicht im Geldfluss (0 % Plattform-Gebühr) und erhält von Stripe nur Webhook-Benachrichtigungen über Käufe (Customer-Email, Name, Betrag, gekaufte Leistung).

Nach jedem solchen Kauf erstellt MYBDY Nutrition im Auftrag des Coaches eine PDF-Rechnung mit den vom Coach hinterlegten Steuer-Angaben (Steuersystem, UID-Nummer, optionaler Footer-Hinweis), speichert diese im verschlüsselten Storage-Bereich und versendet sie automatisch per E-Mail an die Kund:in. Der Coach kann die Rechnung jederzeit in seinem Portal abrufen; die Kund:in erhält sie als Anhang der E-Mail.

Verarbeitete Daten: Customer-Name, Customer-Email, Kaufbetrag, gekaufte Leistung, Stripe-Payment-Intent-ID, Rechnungsnummer (lückenlos pro Coach gemäß § 11 UStG AT / § 14 UStG DE), Coach-Stammdaten + Steuer-Angaben. Speicherort: Supabase (Frankfurt/EU) + verschlüsselter PDF-Speicher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) + Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflicht § 132 BAO).

10. Datensicherheit

• Verschlüsselte Übertragung aller Daten (TLS/HTTPS)
• Verschlüsselte Datenspeicherung (AES-256, encryption at rest)
• Row-Level Security (mandantenisolierte Datenbank — kein Mandant kann auf Daten eines anderen zugreifen)
• Passwörter werden ausschließlich als bcrypt-Hash gespeichert
• Cookie-basierte Authentifizierung mit Supabase Auth (PKCE-Flow)
• Automatische Fehlerüberwachung via Sentry in der EU-Region (Deutschland); sendDefaultPii: false unterdrückt IP-Adresse, Anfrage-Header und Cookies — Einzelheiten in Abschnitt 6
• Regelmäßige Sicherheitsupdates und Dependency-Monitoring

11. Ihre Rolle als Verantwortlicher (Ernährungsberater)

Als Ernährungsberater sind Sie gemäß DSGVO Verantwortlicher für die personenbezogenen Daten Ihrer Kunden und Klienten. MYBDY Nutrition agiert als Ihr Auftragsverarbeiter gemäß Art. 28 DSGVO.

Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wird bei der Registrierung automatisch geschlossen und kann jederzeit unter [email protected] angefordert werden.

12. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) — Welche Daten speichern wir über Sie?
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten, soweit keine Aufbewahrungspflichten bestehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) — Gegen Verarbeitung auf Basis berechtigter Interessen
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — Jederzeit mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: [email protected]

Wir werden Ihre Anfrage innerhalb eines Monats beantworten (Art. 12 Abs. 3 DSGVO).

13. Automatisierte Entscheidungsfindung

Unsere Software verwendet KI-Technologien (Anbieter: OpenAI, L.L.C.) zur Unterstützung bei der Erstellung von Inhalten wie Rezepten, Ernährungsplänen, Texten, Bildern und Social-Media-Beiträgen. An die KI werden ausschließlich die vom Coach eingegebenen Stichworte bzw. der zu verarbeitende Inhalt übermittelt — keine Kunden- oder Gesundheitsdaten. Diese KI-gestützten Funktionen haben ausschließlich unterstützenden Charakter und führen keine automatisierten Entscheidungen im Sinne des Art. 22 DSGVO durch. Die finale Entscheidung liegt stets beim jeweiligen Ernährungsberater.

14. Beschwerderecht

Sie haben das Recht, sich bei der österreichischen Datenschutzbehörde zu beschweren:

15. Aufbewahrungsfristen

16. Datenpanne (Data Breach)

Im Falle einer Verletzung des Schutzes personenbezogener Daten werden wir die zuständige Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen (Art. 33 DSGVO), sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen darstellt.

Besteht ein hohes Risiko, werden auch die betroffenen Personen unverzüglich informiert (Art. 34 DSGVO).

17. Änderungen

Diese Datenschutzerklärung kann von Zeit zu Zeit aktualisiert werden. Wesentliche Änderungen werden per E-Mail an registrierte Nutzer angekündigt. Die aktuelle Version ist stets auf dieser Seite verfügbar.

Stand: Juni 2026