Datenschutzerklärung

Großgeschriebene Begriffe in dieser Erklärung haben die folgende Bedeutung:

• Konto — das eindeutige Profil, das für Ihren Zugang zum Dienst angelegt wird.
• App — die mobile Pacali-Anwendung.
• Unternehmen / wir / uns / unser — Alex Kem, handelnd unter Pacali AI, ein deutsches Einzelunternehmen, Am Hellweg 10, 32105 Bad Salzuflen, Deutschland.
• Gesundheitsdaten — Informationen über Ihre körperlichen Merkmale, Ihre Gesundheit, Ernährung, Ziele oder Aktivität. Sie gehören nach dem anwendbaren Datenschutzrecht zu den besonders schutzwürdigen personenbezogenen Daten.
• Personenbezogene Daten — Informationen, die eine natürliche Person identifizieren oder ihr vernünftigerweise zugeordnet werden können.
• Dienst — die mobile Pacali-App, die Website (pacali.app) und die zugehörigen Dienste.
• Nutzungsdaten — Daten, die bei der Nutzung des Dienstes automatisch erhoben werden.
• Nutzerinhalte — Fotos, Bilder, Texte, Lebensmitteleinträge, Rezepte oder andere Eingaben, die Sie hochladen.
• Sie — die natürliche Person, die auf den Dienst zugreift oder ihn nutzt.

2.1 Personenbezogene Daten, die Sie angeben: Kontodaten (Name, E-Mail-Adresse, Passwort, Profilfoto), Kontaktdaten (E-Mail-Adresse).

2.2 Gesundheits- und Fitnessdaten: Gewicht, Größe, Alter, Geschlecht, Aktivitätsniveau, Schritte, Schlaf, Trainings und Läufe, Distanz, Tempo, verbrannte aktive Energie, Ernährungs- und Mahlzeitenprotokolle, Ernährungsziele, Ernährungsvorlieben, Allergien und Fortschrittsfotos. Dies sind besonders schutzwürdige personenbezogene Daten. Wir verarbeiten sie nur mit Ihrer ausdrücklichen, aktiv erteilten Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

2.2.1 Apple Health & Health Connect: Mit Ihrer ausdrücklichen Erlaubnis liest und/oder schreibt Pacali Gesundheits- und Fitnessdaten über Apple Health (HealthKit) unter iOS und Health Connect unter Android — darunter Schritte, Gewicht, Schlaf, Trainings, Distanz und aktive Energie. Wir greifen auf diese Daten nur zu, um Ihre Aktivität anzuzeigen und die Ernährungs- und Trainingsdaten zu synchronisieren, die Sie in Pacali erfassen. Wir verwenden Daten aus Apple Health oder Health Connect nicht für Werbung und geben sie nicht zu Werbe- oder Datenhandelszwecken an Dritte weiter. Sie werden niemals an Pacali AI oder einen anderen KI-Anbieter gesendet: Werte aus Apple Health oder Health Connect werden beim Auslesen gekennzeichnet und von allem ausgenommen, was die KI-Funktionen erhalten. Sie können diesen Zugriff jederzeit in den Einstellungen von Apple Health oder Health Connect auf Ihrem Gerät widerrufen.

2.3 Nutzerinhalte: Fotos von Mahlzeiten zur Kalorienanalyse, Fortschrittsfotos, Texteinträge, Ernährungsprotokolle, Rezepte. Anonymisierte oder aggregierte Bilder von Lebensmitteln können wir zur Verbesserung unserer KI-Modelle verwenden. Fortschrittsfotos werden niemals zum Training von Modellen verwendet.

2.4 Standortdaten: Wenn Sie den Lauftracker nutzen, erheben wir genaue GPS-Standortdaten, um Ihre Strecke, Distanz, Ihr Tempo und die Höhenmeter aufzuzeichnen. Der Standortzugriff wird erst angefragt, wenn Sie einen Lauf starten, und richtet sich nach den Berechtigungseinstellungen Ihres Geräts. Sie können die Standortberechtigung jederzeit in den Einstellungen Ihres Geräts deaktivieren; der Lauftracker funktioniert dann nicht mehr.

2.5 Nutzungsdaten: Gerätetyp, Betriebssystem, App-Version, Gerätekennungen, IP-Adresse, Zeitstempel, genutzte Funktionen, Absturzprotokolle.

2.5a Anonyme App-Statistiken: Um zu sehen, wie weit Nutzer im Onboarding kommen und wie der Abo-Bildschirm wirkt, zählt die App Schritte wie „Paywall angezeigt“ oder „Kauf gestartet“. Jede Zählung enthält nur den Schritt, Ihre Plattform (Android oder iOS) und die App-Version: Es werden weder Konto, E-Mail-Adresse, Gerätekennung noch IP-Adresse dazu gespeichert, sodass sie Ihnen nicht zugeordnet werden kann. Jeder Schritt wird pro Installation einmal gezählt.

2.6 Cookies und ähnliche Technologien (Website): nur die wenigen Cookies und Einträge im Browserspeicher, die mit Zweck und Speicherdauer in unserer Cookie-Richtlinie aufgeführt sind. Die Website verwendet keine Web-Beacons, Tracking-Pixel oder Werbe-IDs.

2.7 Server-Logfiles (Website): Jeder Aufruf von pacali.app wird von unserem Webserver protokolliert: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, verweisende Seite und User-Agent des Browsers. Wir verwenden diese Logfiles, um die Website zu betreiben, sie abzusichern und Fehler zu finden (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine funktionierende, sichere Website). Sie werden nach 30 Tagen automatisch gelöscht, es sei denn, ein bestimmter Eintrag wird zur Aufklärung eines Angriffs benötigt.

2.8 Produktneuigkeiten per E-Mail (Website, freiwillig, Double-Opt-in): Wenn Sie auf unserer Website Ihre E-Mail-Adresse in die Angebotskarte eingeben und das Kästchen für Produktneuigkeiten ankreuzen, senden wir Ihnen zunächst eine E-Mail mit der Bitte um Bestätigung. Bis Sie auf den darin enthaltenen Link klicken, wird nichts in unserer Datenbank gespeichert: Ihre Adresse, die Seite, auf der Sie sich angemeldet haben, Ihre IP-Adresse, der Zeitpunkt und die Version des Einwilligungstextes befinden sich ausschließlich in diesem signierten Link, der nach 24 Stunden abläuft. Erst wenn Sie bestätigen, speichern wir in unserer eigenen Datenbank (in Deutschland) Ihre Adresse, wo Sie sich angemeldet haben, wann und von welcher IP-Adresse Sie sie eingegeben haben, wann und von welcher IP-Adresse Sie sie bestätigt haben, sowie die Version des Einwilligungstextes, damit wir Ihre Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO, § 7 Abs. 2 UWG). Die E-Mails werden über Brevo (Sendinblue GmbH, Berlin, Deutschland) versendet, unseren Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags, der für begrenzte Zeit ein Protokoll der versendeten E-Mails (Adresse, Zeitpunkt, Zustellstatus) führt. Zweck: gelegentliche Neuigkeiten über Pacali. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); für die Bestätigungs-E-Mail und den Einwilligungsnachweis unsere rechtliche Verpflichtung und unser berechtigtes Interesse, nur an Personen zu schreiben, die darum gebeten haben, und dies nachweisen zu können (Art. 6 Abs. 1 lit. c und f DSGVO). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Jede E-Mail enthält einen Abmeldelink, und ein Klick löscht Ihre Adresse samt Einwilligungsnachweis; Sie können uns auch an akremagency@gmail.com schreiben. Andernfalls speichern wir sie, bis Sie widerrufen oder die Löschung verlangen, längstens 24 Monate nach Ihrer Bestätigung. Die Angabe Ihrer Adresse ist freiwillig; der Download der App hängt nie davon ab.

• 3.1 Bereitstellung und Verbesserung des Dienstes: Erkennung von Lebensmitteln, Ernährungstracking, Personalisierung, Kontoverwaltung, Sicherheit.
• 3.2 Verbesserung von KI- und Bilderkennungsmodellen: ausschließlich anonymisierte/aggregierte Bilder von Lebensmitteln, die keiner Person zugeordnet sind.
• 3.3 Kommunikation: Dienstbenachrichtigungen und Antworten des Supports.
• 3.4 Produktneuigkeiten per E-Mail, nur wenn Sie eingewilligt haben (siehe 2.8).
• 3.5 Recht und Compliance: Betrugsprävention, gesetzliche Pflichten, Schutz von Rechten.
• 3.6 Unternehmensübertragungen: Bei Fusionen/Übernahmen können Daten übergehen.

• Einwilligung: für Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO) und Marketing (Art. 6 Abs. 1 lit. a DSGVO).
• Vertragserfüllung: zur Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO).
• Berechtigte Interessen: Verbesserung und Absicherung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
• Rechtliche Verpflichtungen: Compliance (Art. 6 Abs. 1 lit. c DSGVO).

Wir verkaufen Ihre personenbezogenen Daten nicht. Wir können sie weitergeben an:

• Hosting: Die Website und unser Backend (Datenbank, Authentifizierung und Dateispeicher, betrieben mit der Open-Source-Software Supabase auf unserem eigenen Server) laufen auf einem virtuellen Server, den wir bei der netcup GmbH, Karlsruhe, Deutschland, mieten; netcup verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Die Daten werden in Deutschland gespeichert; Supabase Inc. erhält keine davon.
• Auslieferung und Sicherheit: Cloudflare, Inc. (USA) ist der Website als Content-Delivery-Netzwerk und Sicherheitsdienst (TLS, Schutz vor Angriffen) vorgeschaltet. Jeder Aufruf, einschließlich Ihrer IP-Adresse, läuft über Cloudflare. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (eine schnelle, sichere Website). Cloudflare ist unser Auftragsverarbeiter und nach dem EU-US Data Privacy Framework zertifiziert.
• In-App-Käufe: Premium wird in der App über den Apple App Store oder Google Play gekauft. Apple und Google verarbeiten den Kauf und Ihre Zahlungsdaten als Verkäufer nach ihren eigenen Datenschutzbestimmungen; wir erhalten nur den Abo-Status.
• Zahlungsdienstleister: Stripe, nur für Abonnements, die vor dem 1. November 2026 auf dieser Website abgeschlossen wurden (seitdem verkauft die Website nichts mehr). Stripe speichert die E-Mail-Adresse und die Zahlungsdaten dieser Kunden und wickelt deren Zahlungen ab; Kartennummern sehen oder speichern wir nie.
• Analyse & Diagnose: Sentry zur Diagnose von Abstürzen und Fehlern in der App, nur wenn Sie der Diagnose zustimmen, und mit vorher entfernten personenbezogenen Daten. Die App verwendet kein Werbe-, Attributions- oder Nutzungsanalyse-SDK — insbesondere weder Google Analytics noch Firebase. Diese Website verwendet überhaupt keine Analyse: kein Vercel Web Analytics, kein Google Analytics, keine Tracking-Pixel und keine Analyse-Cookies von Dritten.
• Kontaktformular: Name, E-Mail-Adresse, Betreff und Nachricht, die Sie über das Kontaktformular unserer Website senden, werden von Brevo (Sendinblue GmbH, Berlin, Deutschland), unserem Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags, als E-Mail an unser Postfach (derzeit Google Gmail) zugestellt, damit wir Ihnen antworten können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen). Wir bewahren die Nachricht so lange auf, wie es für ihre Bearbeitung und etwaige Rückfragen nötig ist, sofern nicht steuer- oder handelsrechtliche Vorschriften eine längere Aufbewahrung verlangen.
• KI-/ML-Dienste: Für die Erkennung von Lebensmitteln, die Nährwertanalyse und den Pacali-AI-Chat setzen wir KI-Anbieter ein. Dies sind:
  • Google (Gemini API) — Erkennung von Fotos von Lebensmitteln und Produkten sowie KI-Chat, wenn OpenAI nicht verfügbar ist. Verarbeitung in den Vereinigten Staaten.
  • OpenAI — Fotoerkennung, Nährwertschätzung aus Text und KI-Chat. Verarbeitung in den Vereinigten Staaten.
  Was die Lebensmittel- und Etikettenscanner senden: das Foto oder den Text, den Sie übermitteln, sonst nichts.Was der Pacali-AI-Chat sendet, und zwar erst nachdem Sie in der App zugestimmt haben (Widerruf jederzeit unter Einstellungen → KI-Personalisierung):
  • Ihre Nachrichten, ein angehängtes Foto und die letzten Nachrichten des Gesprächs;
  • eine Profilzusammenfassung: Ihre Altersspanne, Ihr Geschlecht, Ihre BMI-Kategorie, Ihr Ziel, Ihr Aktivitätsniveau, Ihre Kalorien-, Makro- und Wasserziele, die Lebensmittel und Küchen, die Sie mögen oder meiden, Ihre Allergien und Ernährungseinschränkungen sowie die Anzahl (nicht die Namen) der medizinischen Besonderheiten und Nahrungsergänzungsmittel, die Sie erfasst haben;
  • was Sie in Pacali erfasst haben: die heutigen Lebensmittel (mit Namen), Kalorien, Makros, Wasser und Training sowie die Schritte, den Schlaf und die Gewichtsspanne, die Sie selbst eingetragen haben; Ihre 7-Tage-Durchschnitte; und die Namen der Lebensmittel, die Sie in den letzten 7 Tagen erfasst haben.
  Ihr Name, Ihre E-Mail-Adresse, Ihr genaues Alter, Ihre Größe und Ihr Gewicht, die Namen medizinischer Besonderheiten oder Nahrungsergänzungsmittel sowie Daten aus Apple Health oder Health Connect werden nicht gesendet. Bitte geben Sie trotzdem nichts in den KI-Chat ein, was diese Anbieter nicht verarbeiten sollen, denn die Nachricht selbst wird so gesendet, wie Sie sie schreiben.Ergebnisse dieser Funktionen sind in der App gekennzeichnet und tragen eine maschinenlesbare Markierung „KI-generiert“, wie es Artikel 50 der KI-Verordnung der EU verlangt. Sie sind eine Schätzung, keine medizinische Beratung, und es wird keine automatisierte Entscheidung mit rechtlicher Wirkung über Sie getroffen (Art. 22 DSGVO). Der Pacali-AI-Chat ist Nutzern ab 18 Jahren vorbehalten.
• Unternehmensübertragungen: bei Fusionen/Übernahmen.
• Gesetzliche Pflichten: an Strafverfolgungsbehörden, wenn dies gesetzlich vorgeschrieben ist.
• Mit Ihrer Einwilligung: an Integrationen Dritter, die Sie freigeben.
• Aggregierte/anonymisierte Daten: für Analysen, Forschung und Marketing.

Sie räumen Pacali ein weltweites, unentgeltliches, unterlizenzierbares Recht ein, Ihre Nutzerinhalte zum Betrieb und zur Verbesserung des Dienstes zu nutzen. Ohne Ihre ausdrückliche Einwilligung zeigen wir Ihre Fotos nicht öffentlich. Fortschrittsfotos werden niemals zum Training von Modellen verwendet.

Wir speichern Ihre Daten nur so lange, wie es für die Bereitstellung des Dienstes erforderlich ist:

• Konto- sowie Gesundheits- und Fitnessdaten: solange Ihr Konto besteht. Wenn Sie Ihr Konto löschen, werden diese Daten innerhalb von 30 Tagen endgültig aus unseren aktiven Systemen gelöscht.
• Diagnose- und Absturzprotokolle: bis zu 90 Tage.
• Server-Logfiles der Website: automatische Löschung nach 30 Tagen (siehe 2.7).
• E-Mail-Liste für Produktneuigkeiten: Gespeichert werden nur bestätigte Adressen samt Einwilligungsnachweis, bis Sie sich abmelden oder die Löschung verlangen, längstens 24 Monate nach der Bestätigung. Eine unbestätigte Anmeldung wird nicht gespeichert; ihr Link läuft nach 24 Stunden ab (siehe 2.8).
• Nutzungs-/Analysedaten: in aggregierter oder de-identifizierter Form bis zu 13 Monate.
• Backups: Restkopien können für kurze Zeit in verschlüsselten Backups verbleiben und werden in unserem regulären Backup-Zyklus überschrieben.
• Gesetzliche Aufbewahrung: Manche Unterlagen bewahren wir länger auf, wenn das Gesetz es verlangt.

Daten können in Länder außerhalb des EWR/des Vereinigten Königreichs übermittelt werden. Die Garantie hängt davon ab, wo sich der Empfänger befindet:

• OpenAI — unser Vertragspartner ist die OpenAI Ireland Ltd. (Dublin) mit Sitz im EWR. Weiterübermittlungen von dort an OpenAI-Gesellschaften außerhalb des EWR erfolgen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), wie im Data Processing Addendum von OpenAI festgelegt.
• Andere Empfänger in den Vereinigten Staaten (Google, Cloudflare, Stripe, Sentry) — das EU-US Data Privacy Framework, soweit der jeweilige Empfänger danach zertifiziert ist, andernfalls Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
• Unser eigener Server (Website, Datenbank, Authentifizierung, Speicher) steht in Deutschland; die Speicherung Ihrer Daten ist daher mit keiner Übermittlung außerhalb des EWR verbunden.

Sie haben das Recht, von uns Einzelheiten zu den Garantien zu erfahren, die für eine bestimmte Übermittlung gelten. Schreiben Sie uns an akremagency@gmail.com.

Rechte nach der DSGVO: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerruf der Einwilligung, Widerspruch, Beschwerde bei einer Aufsichtsbehörde.

Rechte nach dem CCPA: Recht auf Auskunft, Widerspruch gegen den Verkauf (wir verkaufen keine Daten), Nichtdiskriminierung.

Ausübung über die App-Einstellungen oder per E-Mail an akremagency@gmail.com. Antwort innerhalb von 30 Tagen (45 Tage nach dem CCPA).

Sie können Ihr Konto und alle zugehörigen personenbezogenen Daten — einschließlich Gesundheits- und Fitnessdaten, Fortschrittsfotos, Ernährungsprotokollen und Profildaten — jederzeit löschen:

• In der App: Öffnen Sie Einstellungen → Konto → Konto löschen und bestätigen Sie. Die Löschung wird innerhalb weniger Sekunden ausgeführt und Ihre Anmeldesitzung sofort beendet.
• Per E-Mail: Schreiben Sie von der mit Ihrem Konto verknüpften Adresse an akremagency@gmail.com. Wir prüfen die Anfrage und schließen die Löschung innerhalb von 7 Tagen ab.
• Im Web: Eine Schritt-für-Schritt-Anleitung finden Sie auf unserer Seite zur Kontolöschung (auf Englisch).

Ihr Konto und Ihre personenbezogenen Daten werden spätestens 30 Tage nach der Anfrage endgültig aus unseren aktiven Systemen gelöscht. Einzelne Unterlagen bleiben nur erhalten, wenn das Gesetz ihre Aufbewahrung verlangt, und Restkopien in verschlüsselten Backups werden in unserem regulären Backup-Zyklus entfernt.

Zum Schutz Ihrer Daten setzen wir SSL/TLS-Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen, Anonymisierung/Pseudonymisierung, regelmäßige Sicherheitsprüfungen und Mitarbeiterschulungen ein.

Der Dienst ist nicht für Personen unter 18 Jahren bestimmt. Wir erheben wissentlich keine Daten von Kindern unter 18 Jahren. Wenden Sie sich bei Bedenken an akremagency@gmail.com.

Aktualisierungen veröffentlichen wir mit neuem Stand-Datum. Über wesentliche Änderungen informieren wir Sie in der App oder per E-Mail.

E-Mail: akremagency@gmail.com
Postanschrift: Alex Kem, Am Hellweg 10, 32105 Bad Salzuflen, Deutschland