Datenschutzerklärung

Vier Sätze vorweg

Wir verkaufen keine Daten

Nicht als Rohdaten, nicht als Profil, nicht als Zielgruppe. Es gibt kein Geschäftsmodell, das darauf aufsetzt, und keinen Vertrag, der es vorbereitet.

Alles liegt in der EU, und fast alles betreiben wir selbst

Server, Datenbank und Sicherungen stehen in Rechenzentren in Deutschland und Finnland, also in der EU. Dienste, die andere zukaufen, betreiben wir selbst: Wetter, Luft und Pollen auf einer eigenen Open-Meteo-Instanz, Adressen auf einem eigenen Nominatim, Karten auf einem eigenen Kachelserver, die Anmeldung auf einem eigenen Keycloak. Wo du wohnst, verlässt damit das Haus nicht. Die eine Ausnahme ist der E-Mail-Versand, und sie steht weiter unten.

Verschlüsselt unterwegs, und was noch fehlt

Die Verbindung läuft ausschließlich über TLS, und Sicherungen, die den Server verlassen, sind verschlüsselt. Die Festplatten des Servers selbst sind noch nicht verschlüsselt; ein Neuaufbau mit Plattenverschlüsselung ist geplant. Wir schreiben das hin, statt es zu umschreiben.

Freigaben sind einzeln und widerruflich

Eine Ärztin, ein Coach oder ein Haushaltsmitglied sieht nichts, was nicht ausdrücklich freigegeben wurde, und zwar Stück für Stück statt in einem Zug. Der Widerruf wirkt sofort und braucht keine Begründung.

Verantwortliche Stelle

Verantwortlich im Sinne der DSGVO für die Verarbeitung personenbezogener Daten auf der Website soma.recipes (auch unter www.soma.recipes), in der App unter app.soma.recipes, im Backoffice für Fachkräfte unter bo.soma.recipes, auf der Anmeldeseite unter auth.soma.recipes und im Verwaltungsportal unter admin.soma.recipes, das nur unserem Team offensteht, ist:

Vertreten durch

Lukas Kreuzer

Register

HRB 805725, Amtsgericht Stuttgart

Datenschutz

datenschutz@soma.recipes

Allgemein

hello@soma.recipes

Weder die KreuzerTec Holding UG (haftungsbeschränkt) noch die geplante SOMA Health UG (haftungsbeschränkt) sind Verantwortliche. Die eine hält Anteile, die andere ist in Vorbereitung und existiert nicht. Keine von beiden verarbeitet Daten aus SOMA.

Eine oder ein Datenschutzbeauftragter ist noch nicht benannt. Weil wir für SOMA eine Datenschutz-Folgenabschätzung durchführen, ist die Benennung Pflicht (§ 38 Abs. 1 Satz 2 BDSG); sie ist in Vorbereitung. Bis dahin gehen alle Anliegen zum Datenschutz an datenschutz@soma.recipes oder über das Kontaktformular und werden dort bearbeitet.

Auf welcher Grundlage wir verarbeiten

Art. 6 Abs. 1 lit. b

Erfüllung des Nutzungsvertrags und vorvertragliche Schritte

Art. 6 Abs. 1 lit. f

Berechtigtes Interesse an sicherem, störungsfreiem Betrieb

Art. 6 Abs. 1 lit. c

Gesetzliche Aufbewahrungs- und Nachweispflichten

Art. 6 Abs. 1 lit. a

Einwilligung, etwa für Standort, Statistik, Fehlerberichte oder den Gesprächsverlauf

Art. 9 Abs. 2 lit. a

Ausdrückliche Einwilligung in gesundheitsbezogene Angaben

§ 25 Abs. 2 Nr. 2 TDDDG

Technisch erforderlicher Zugriff auf dein Endgerät

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. In der App liegt zu jeder Einwilligung fest, welcher Textfassung zugestimmt wurde, mit Datum. Ohne diesen Nachweis wäre die Einwilligung nach Art. 7 Abs. 1 DSGVO nicht belegbar.

Die Einwilligungen im Einzelnen

Diese Verarbeitungen laufen nur, wenn du ihnen einzeln zustimmst; keine ist voreingestellt. Sie sind getrennt, weil sie verschiedene Dinge tun: Wer den Standort erlaubt, hat damit nicht in seine Gesundheitsangaben eingewilligt. Die Kennung in der linken Spalte ist die, unter der die Einwilligung in deinem Konto geführt wird; du findest sie in den Einstellungen wieder.

standort

Angebote und Erzeuger in der Nähe, Luft-, Pollen- und UV-Werte. Widerruf löscht den Standortverlauf.

nutzungsstatistik

Welche Funktion wann geöffnet wurde. Ohne Einwilligung wird nichts gezählt. Geht an niemanden. Widerruf löscht die Ereignisse.

gesundheit

Allergien, Unverträglichkeiten und medizinische Ausschlüsse, Erkrankungen und Lebensphase, Körperwerte, Ernährungstagebuch, Präparate und Medikamente. Art. 9 Abs. 2 lit. a DSGVO. Widerruf löscht alle diese Angaben und gespeicherte Gespräche mit dem Assistenten. Für ein Kind unter 16 erklärt eine sorgeberechtigte Person die Einwilligung.

geraetedaten

Werte aus einem verbundenen Gerät oder Anbieterkonto: Schritte, Ruhepuls, Schlaf. Art. 9 Abs. 2 lit. a DSGVO. Widerruf trennt die Verbindung und löscht die übernommenen Werte.

fehlerberichte

Technische Angaben, wenn in der App etwas schiefgeht (§ 25 Abs. 1 TDDDG). Ausschalten beendet die Übermittlung; gesendete Meldungen kannst du einzeln löschen.

chatverlauf

Fragen, Antworten und genannte Quellen aufbewahren, damit du frühere Gespräche wiederfindest. Nur zusammen mit der Einwilligung in die Gesundheitsangaben. Widerruf löscht alle gespeicherten Gespräche.

Freigabe an Menschen

Lesezugriff für ein Haushaltsmitglied oder eine Fachkraft, je Bereich einzeln. Widerruf beendet den Zugriff sofort.

Zu jeder dieser Einwilligungen halten wir fest, welcher Textfassung du zugestimmt hast, und mit welchem Zeitpunkt. Ein Widerruf überschreibt diesen Beleg nicht, sondern kommt als eigene Zeile dazu: Er ist der Nachweis, dass die Verarbeitung rechtmäßig war, solange sie lief.

Gesundheitsbezogene Angaben (Art. 9 DSGVO)

Das ist der Abschnitt, der bei SOMA zählt. Vieles von dem, was die App verarbeitet, gehört zu den besonderen Kategorien personenbezogener Daten und ist damit besonders geschützt.

Worum es konkret geht

• Selbst angegebene Erkrankungen, mit einem freien Notizfeld dazu.
• Präparate und Medikamente, die du einnimmst, samt Einnahmeprotokoll. Ein Medikament verrät die Erkrankung, wegen der es genommen wird; es wird deshalb wie eine Erkrankung behandelt und nicht wie ein Lebensmittel.
• Allergien, Unverträglichkeiten und andere Ausschlüsse, mit ihrer Schwere. Auch religiös oder ethisch begründete Ausschlüsse gehören hierher.
• Schwangerschaft und Stillzeit, sofern du sie angibst.
• Körperwerte: Gewicht, Größe, Taille, Körperfettanteil, Ruhepuls.
• Werte aus einem Wearable, sofern du eines verbindest: Schritte, Ruhepuls, Schlafdauer und Schlafgüte.
• Das Ernährungstagebuch. Was ein Mensch über Wochen isst, ist eine gesundheitsbezogene Aufzeichnung, auch wenn jede einzelne Zeile harmlos aussieht.

Wie wir damit umgehen

• Nichts davon wird verarbeitet, ohne dass du es einträgst oder eine Verbindung einrichtest. Rechtsgrundlage ist deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO: eine gebündelte Einwilligung in die Gesundheitsangaben, die du in der App vor der ersten solchen Angabe erteilst. Ohne sie lässt sich nichts davon eintragen; Pläne, Rezepte und Einkauf funktionieren trotzdem.
• Ein Widerruf löscht alle diese Angaben, auch gespeicherte Gespräche mit dem Assistenten. Vorher zeigt dir die App, was genau gelöscht würde.
• Gesundheitsbezogene Angaben sind auch innerhalb eines Haushalts standardmäßig privat. Der Haushalt sieht „keine Nüsse, nie". Er sieht nicht, warum.
• Ab 16 Jahren entscheidet die Person selbst, wer ihre Angaben sehen darf. Ist das Geburtsdatum unbekannt, gilt sie als selbstbestimmt.
• Jede Freigabe ist einzeln, trägt Fassung und Zeitpunkt und ist jederzeit widerruflich. Ein Widerruf wird nicht überschrieben, sondern als Widerruf festgehalten.

Was wir ausdrücklich NICHT speichern

Nach einer Essstörung oder einer laufenden ernährungsmedizinischen Behandlung fragen wir nicht, und es gibt dafür kein Feld. Schwangerschaft und Stillzeit trägst du nur ein, wenn du willst.

Es gibt in SOMA außerdem kein Feld für Zyklusdaten, keinen Endpunkt dafür und kein Modell. Das ist keine Einstellung, sondern eine Lücke im Bauplan, und sie ist Absicht.

Mitversorgte Personen

Für ein Kind unter 16 Jahren ohne eigenes Konto erklärt eine sorgeberechtigte Person die Einwilligung; die Erklärung gilt nur, solange das Kind jünger als 16 ist. Für Erwachsene ohne eigenes Konto speichern wir keine Gesundheitsangaben: Sie können das Profil mit einer Einladung übernehmen und dann selbst einwilligen.

Angaben aus der Zeit vor dieser Einwilligung

Wer vor dem 8. Oktober 2026 Gesundheitsangaben eingetragen hat, wird beim nächsten Öffnen der App gefragt: einwilligen oder die Angaben löschen. Bis zur Entscheidung geht es in der App nicht weiter; Export, Widerruf und Kontolöschung bleiben erreichbar.

Was diese Website erhebt

Diese Website bindet keine fremden Server ein. Die Schriften liegen auf unserem eigenen Server, es gibt kein Analysewerkzeug, kein Werbenetzwerk, kein Auslieferungsnetz und keinen Fehlerdienst. In der gebauten Seite steht keine einzige fremde Adresse.

Der Webserver führt ein Zugriffsprotokoll, wie es jeder Webserver führt: Zeitpunkt, aufgerufene Adresse, Antwortstatus, übertragene Menge, Browserkennung und IP-Adresse. Drei Dinge daran sind eingestellt und nicht zufällig so:

• Die IP-Adresse wird gekürzt, bevor sie geschrieben wird: bei IPv4 auf die ersten drei Blöcke, bei IPv6 auf die ersten drei Gruppen. Das genügt, um einen Angriff einem Netz zuzuordnen, und nicht, um einen Anschluss zu bestimmen.
• Aus der aufgerufenen Adresse werden die Werte entfernt, die ein Geheimnis tragen könnten: Anmeldecodes, Sitzungsstände und der Zugangsschlüssel des Tores. Kopfzeilen mit Anmeldedaten schwärzt der Webserver von sich aus.
• Der Umfang ist nach oben begrenzt, und zwar nach Größe statt nach Zeit: fünf Dateien zu je 20 MB, die älteste wird überschrieben. Wie viele Tage das abdeckt, hängt davon ab, wie viel los ist; eine feste Frist in Tagen nennen wir deshalb nicht.

Die Anwendung dahinter übernimmt deine IP-Adresse vom Reverse Proxy, und nur von ihm: Eine Angabe, die ein Browser selbst mitschickt, zählt nicht. Sie braucht die Adresse für zwei Dinge. Erstens, um zu viele Anfragen von derselben Stelle zu bremsen; die Zähler dafür liegen nur im Arbeitsspeicher und verfallen nach einer Minute. Zweitens für das Sicherheitsprotokoll und die Geräteliste. Nur dort wird sie gespeichert, vollständig höchstens 30 Tage lang, danach nur noch gekürzt. Siehe Sicherheitsprotokoll und IP-Adressen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb.

Das Cookie der Website

Solange SOMA nicht offen ist, liegt vor der Website ein Zugangstor. Wer einen Schlüssel eingibt, bekommt dafür ein Cookie namens soma_tor mit einer Laufzeit von 30 Tagen. Es ist gegen Auslesen durch Skripte gesperrt, enthält keine Kennung einer Person und dient allein dazu, den Schlüssel nicht bei jedem Klick erneut abzufragen. Alle Cookies und Ablagen von Website und App stehen im Abschnitt Cookies und Speicher im Browser.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG: Ohne dieses Cookie kann der Dienst, den du ausdrücklich gewünscht hast, nicht erbracht werden. Ein Einwilligungsbanner ist dafür nicht erforderlich, weil wir keine Cookies zu Analyse- oder Werbezwecken einsetzen. Ein Banner, das nur ein technisch erforderliches Cookie abfragt, erzieht dazu, Banner wegzuklicken.

Die Pflichtseiten bleiben offen

Impressum, Datenschutzerklärung, Nutzungsbedingungen, der Hinweis „Kein Medizinprodukt", das Kontaktformular und das Meldeformular sind ohne Schlüssel erreichbar. § 5 DDG verlangt, dass die Anbieterkennzeichnung leicht erkennbar, unmittelbar erreichbar und ständig verfügbar ist; ein Tor davor wäre keins von dreien.

Die Warteliste

Trägst du dich ein, speichern wir: die E-Mail-Adresse, die gewählte Rolle, die Sprache der Seite, die Seite selbst, auf der du dich einträgst, den Zeitpunkt, die Fassung dieser Datenschutzerklärung, auf die die Seite verwies, und ob du die Adresse bestätigt hast. Sonst nichts, insbesondere keinen Namen, keine IP-Adresse und kein Zählpixel. Die Seite wird gespeichert, weil sie die einzige Frage beantwortet, die wir später stellen: welche Tür trägt.

Erst die Bestätigung macht den Eintrag gültig. Wir schicken dir eine Mail mit einem Link, der 48 Stunden gilt. Ohne Klick schreiben wir dir nicht und löschen die Adresse nach 7 Tagen. Einträge aus der Zeit vor diesem Verfahren haben wir nicht angeschrieben; sie werden 30 Tage nach der Umstellung gelöscht, wenn sie bis dahin nicht bestätigt sind.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Jede Nachricht trägt einen Abmeldelink, der auch im Kopf der Mail steht, damit dein Postfach einen eigenen Abmeldeknopf zeigen kann. Die Abmeldung löscht den Eintrag, statt ihn zu markieren.

Die Warteliste ist auch der Weg zu einer Einladung: Laden wir dich ein, legen wir eine Zugangseinladung an deine bestätigte Adresse an und schicken dir den Link. Der Eintrag steht danach auf „eingeladen", und legst du ein Konto an, auf „registriert".

Zugang zur Testphase: Einladung und Alpha-Vereinbarung

SOMA ist in einer Testphase. Solange der Zugang auf Einladung beschränkt ist, entsteht ein Konto nur mit einer Einladung, und dazu gehören die Alpha-Testbedingungen und die Alpha-Vereinbarung über die Vertraulichkeit. Ein Konto gibt es dann ab 18 Jahren, sonst ab 16.

Zugangseinladungen

Für eine Einladung speichern wir: die E-Mail-Adresse (so, wie sie eingegeben wurde, und klein geschrieben zum Vergleich), einen Streuwert des Links (nicht den Link selbst), wann und von welchem Betreiberkonto sie angelegt wurde, bis wann sie gilt, wann sie eingelöst oder widerrufen wurde, das Konto, das mit ihr entstand, und, wenn sie aus der Warteliste kam, den Eintrag dort. Beim Registrieren muss die Adresse zur Einladung passen. Die Einladungsmail enthält nur den Link und seine Gültigkeit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung des Vertrags über dein Konto). Wir löschen die Einladung 90 Tagen nach Einlösen, Widerruf oder Ablauf, und sofort, wenn du dein Konto löschst.

Deine Unterschrift unter die Alpha-Vereinbarung

Du unterschreibst in der App: Du zeichnest deine Unterschrift und schreibst deinen vollen Namen darunter. Wir speichern das Bild der Unterschrift, das unser Server neu erzeugt (ohne eingebettete Angaben wie Gerät oder Uhrzeit), seine Prüfsumme und den Namen. Wie, wie schnell oder mit welchem Druck du gezeichnet hast und wann einzelne Striche entstanden, speichern wir nicht; daraus ließen sich womöglich biometrische Merkmale ableiten, und für den Beleg braucht es das nicht.

Kannst du nicht zeichnen, genügt dein voller Name. Dann speichern wir den Namen und dass du den Weg ohne Zeichnung gewählt hast, ohne Begründung, und schicken dir einen Link zur Bestätigung, der 7 Tage gilt. Bis zum Klick gilt die Vereinbarung als nicht unterschrieben. Wird der Link nicht geklickt, löschen wir die Angaben 30 Tagen nach seinem Ablauf.

Die Unterschrift wird nirgends angezeigt oder ausgeliefert. Sehen können sie nur du, in der Auskunft und im Export, und wir im Betrieb, wenn es um die Vereinbarung geht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die Vereinbarung selbst) und Art. 6 Abs. 1 lit. f DSGVO: Wir müssen belegen können, wer sie unterschrieben hat.

Bild und Name bewahren wir 3 Jahre auf, gezählt ab dem Ende des Jahres, in dem die Vertraulichkeitspflicht endet: mit der Öffnung von SOMA oder, wenn dein Konto vorher endet, drei Jahre danach. Danach bleibt nur die Prüfsumme, bis zur Frist der Nachweise nach dem Ende des Kontos. Öffnen wir SOMA, bekommen alle, die unterschrieben haben, eine Mitteilung per E-Mail, dass die Pflichten enden; darüber halten wir einen Beleg fest wie bei den Mitteilungen.

Konto, Anmeldung und Sitzungen

Zum Konto gehören eine E-Mail-Adresse, ein Anzeigename, die Spracheinstellung und der Zeitpunkt des letzten Zugriffs. Ernährungsdaten hängen nicht am Konto, sondern an einer Person; ein Konto kann mehrere Personen führen, etwa in einem Haushalt.

Passwörter und zweite Faktoren liegen in einer eigenen, von uns selbst betriebenen Anmeldeverwaltung (Keycloak) auf derselben Infrastruktur. Wir sehen dein Passwort nicht; gespeichert wird es dort als Streuwert. Neben dem Passwort werden ein Einmalkennwort per App und Passkeys unterstützt.

Eine Sitzung endet nach 14 Tagen ohne Nutzung, spätestens aber nach 30 Tagen. Ohne „Angemeldet bleiben" endet sie mit dem Schließen des Browsers. Welche Cookies dafür gesetzt werden, steht im Abschnitt Cookies und Speicher im Browser.

Der Schlüssel, mit dem die App deine Sitzung im Hintergrund verlängert, gilt jeweils nur einmal. Wird ein schon benutzter Schlüssel noch einmal vorgelegt, ist das das Muster einer Kopie: Wir beenden die Sitzung und schreiben dir eine E-Mail.

Unter „Sicherheit" siehst du deine laufenden Sitzungen und kannst einzelne oder alle beenden. Unter „Konto" kannst du das Konto mit allen Angaben selbst löschen; dafür verlangen wir eine frische Anmeldung.

Ein Konto, das 24 Monate nicht benutzt wird, löschen wir samt allen Angaben (Grundlage sind die Nutzungsbedingungen). Vorher bekommst du drei E-Mails, 30, 7 und 1 Tag vor der Löschung, und gelöscht wird frühestens 30 Tage nach der ersten. Eine Anmeldung genügt, damit alles bleibt. Gemessen wird am Zeitpunkt deines letzten Zugriffs, den wir dafür ohnehin am Konto führen.

Was nach einer Löschung bleibt

Wir bewahren auf, welcher Fassung der Nutzungsbedingungen und dieser Erklärung du wann zugestimmt bzw. sie zur Kenntnis genommen hast, und welche Einwilligungen du erteilt oder widerrufen hast: Zweck, Zeitpunkte, Fassung des Einwilligungstexts. Dazu nur ein Streuwert deiner E-Mail-Adresse, damit wir dir den Nachweis zeigen können, wenn du dich meldest. Keine Gesundheitsangaben, kein Name, keine Adresse im Klartext. Die Frist beträgt 6 Jahre, gezählt ab dem Ende des Jahres, in dem das Konto endete.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweis einer Einwilligung) und Art. 17 Abs. 3 lit. e DSGVO (Verteidigung gegen Ansprüche). Dasselbe gilt für eine einzelne Einwilligung, die mit einer Freigabe endet, etwa wenn eine Fachkraft ihr Konto löscht.

Mitteilungen über neue Rechtstexte und Vorfälle

Ändern sich die Nutzungsbedingungen, die Bedingungen für Fachkräfte oder diese Erklärung wesentlich, schreiben wir dir an die Adresse deines Kontos: eine E-Mail je Person, mit allen Änderungen darin. Eine rein redaktionelle Änderung (klarere Formulierung, keine neue Verarbeitung) bekommt ein neues Datum, aber keine E-Mail. Ebenso schreiben wir dir, wenn eine Verletzung des Schutzes deiner Daten deine Rechte voraussichtlich erheblich gefährdet (Art. 34 DSGVO), wenn die Pflichten aus der Alpha-Vereinbarung mit der Öffnung von SOMA enden, und wenn ein Vertrag uns eine Mitteilung in Textform abverlangt.

Zu jeder dieser Mitteilungen halten wir einen Beleg fest: den Wortlaut, die betroffenen Fassungen, wann sie an welches Konto ging und ob sie zugestellt wurde. Die Adresse steht darin nicht im Klartext, sondern nur als Streuwert mit serverseitigem Zusatzgeheimnis und gekürzt (etwa „l***@beispiel.de"). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB (Aufbewahrung von Geschäftsbriefen) sowie Art. 6 Abs. 1 lit. f DSGVO: Wir müssen belegen können, dass wir dich informiert haben. Der Beleg bleibt 6 Jahre, gezählt ab dem Ende des Kalenderjahres, auch wenn du das Konto vorher löschst.

Diese E-Mails sind keine Werbung und lassen sich nicht abbestellen, solange das Konto besteht.

Cookies und Speicher im Browser

Das ist die vollständige Liste dessen, was SOMA in deinem Browser ablegt. Alles davon ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG): Ohne es funktioniert der Dienst nicht, den du ausdrücklich nutzt. Analyse- oder Werbecookies gibt es nicht, deshalb auch kein Einwilligungsbanner. Was im lokalen Speicher liegt, bleibt auf deinem Gerät und wird nicht an uns übertragen.

soma_tor

Cookie · Website: Schlüssel des Zugangstors, solange SOMA nicht offen ist. Dauer: 30 Tage.

rf_refresh

Cookie · App: Auffrischungstoken der Sitzung, gegen Skriptzugriff gesperrt. Dauer: bis zum Ende der Sitzung, höchstens 30 Tage.

rf_bleiben

Cookie · App: merkt sich die Wahl „Angemeldet bleiben". Dauer: wie die Sitzung.

rf_flow

Cookie · App: signierter Zwischenstand einer laufenden Anmeldung. Dauer: 15 Minuten.

rf_geraet

Cookie · App: zufällige Kennung, um denselben Browser wiederzuerkennen (Geräteliste, Hinweis auf neue Geräte). Dauer: 180 Tage.

rf_office_refresh

Cookie · Backoffice: Auffrischungstoken der Sitzung einer Fachkraft. Dauer: bis zum Ende der Sitzung.

rf_office_flow

Cookie · Backoffice: signierter Zwischenstand einer laufenden Anmeldung. Dauer: 15 Minuten.

rf_admin_refresh

Cookie · Verwaltung (nur Betreiber): Auffrischungstoken der Verwaltungssitzung. Dauer: bis zum Ende der Sitzung.

rf_admin_flow

Cookie · Verwaltung (nur Betreiber): signierter Zwischenstand einer laufenden Anmeldung. Dauer: 15 Minuten.

Keycloak-Cookies (AUTH_SESSION_ID, KC_RESTART, KEYCLOAK_IDENTITY, KEYCLOAK_SESSION u. a.)

Cookie · Anmeldeseite: Anmeldesitzung bei unserer eigenen Anmeldeverwaltung. Dauer: bis zum Ende der Anmeldesitzung.

lb.oberflaeche

localStorage · App: die gewählte Sprache der App. Dauer: bis du sie zurücksetzt.

lb.melden.offen

localStorage · App: Fehlermeldungen, die beim Senden nicht durchkamen, bis zum nächsten Versuch. Dauer: bis zum Versand.

lb.alternativen.kette

localStorage · App: die Handelskette, nach der Alternativen gefiltert werden. Dauer: bis du sie zurücksetzt.

lb.vorrat.eingeraeumt

localStorage · App: wann „Neu eingeräumt" zuletzt erledigt war. Dauer: bis du sie zurücksetzt.

lb.alpha.gesehen

localStorage · App: dass der Hinweis zur Testphase schon gezeigt wurde. Dauer: bis du sie zurücksetzt.

soma.suche.begriffe

localStorage · App: deine letzten Suchbegriffe, nur auf diesem Gerät. Dauer: bis du sie löschst.

soma.suche.geoeffnet

localStorage · App: zuletzt geöffnete Suchtreffer, nur auf diesem Gerät. Dauer: bis du sie löschst.

soma.anmeldung.zuletzt

sessionStorage · App: Zeitpunkt des letzten Anmeldeversuchs, gegen eine Weiterleitungsschleife. Dauer: 30 Sekunden wirksam, gelöscht mit dem Tab.

soma.office.anmeldung.zuletzt

sessionStorage · Backoffice: dasselbe im Backoffice. Dauer: 30 Sekunden wirksam, gelöscht mit dem Tab.

soma_sw_erneuert

sessionStorage · App und Backoffice: dass eine veraltete Offline-Fassung der App schon einmal ersetzt wurde, gegen eine Neuladeschleife. Dauer: bis der Tab geschlossen wird.

soma.kochen.einkauf

sessionStorage · App: der Einkauf, während du kochst. Dauer: bis der Tab geschlossen wird.

Die App legt außerdem ihre eigene Programmhülle im Zwischenspeicher des Browsers ab, damit sie schneller startet. Antworten mit deinen Daten speichert dieser Zwischenspeicher nicht. Unter „Einstellungen, App" kannst du die lokalen Ablagen zurücksetzen.

Geräte und Wiedererkennung

Damit wir eine Anmeldung von einem unbekannten Gerät von einer gewohnten unterscheiden können, setzen wir ein Cookie mit einer zufälligen Kennung („rf_geraet“). Es enthält nichts über dich oder dein Gerät; wir erkennen daran nur denselben Browser wieder. Zu jedem solchen Gerät führen wir Browser- und Plattformangaben, Sprache, zuletzt gesehene IP-Adresse (nach 30 Tagen nur noch gekürzt), Land und Netzbetreiber. Das Cookie läuft 180 Tage.

Das Cookie ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG): Ohne es gibt es keine Geräteliste unter „Sicherheit“, keine Nachricht bei einer Anmeldung auf einem neuen Gerät und keine Zuordnung von Fehlversuchen. Merkmale deines Geräts lesen wir dafür nicht aus; einen Browser-Fingerabdruck gibt es nicht. Löschst du das Cookie, wird dein Browser beim nächsten Mal als neues Gerät geführt.

Sicherheitsprotokoll und IP-Adressen

Zu jedem Anmeldevorgang wird festgehalten: Art und Ausgang, Zeitpunkt, IP-Adresse, Land, Netzbetreiber und Browserkennung. Bei einem fehlgeschlagenen Versuch wird die E-Mail-Adresse nicht im Klartext gespeichert, sondern nur als Streuwert mit einem serverseitigen Zusatzgeheimnis: Damit lassen sich Versuche auf dasselbe Konto zählen, ohne dass das Protokoll eine Liste von Adressen wird.

Die vollständige IP-Adresse steht dort nur 30 Tage. Danach kürzt ein nächtlicher Pflegelauf sie auf ihr Netz: bei IPv4 auf die ersten drei Blöcke, bei IPv6 auf die ersten drei Gruppen. Dasselbe gilt für die Adresse, mit der eine Sitzung begann, und für die zuletzt gesehene Adresse eines Geräts. Die Einträge selbst bleiben so lange, wie es der Abschnitt Wie lange wir etwas behalten nennt, das Anmeldeprotokoll etwa 400 Tage; um zu erkennen, ob eine Anmeldung ungewöhnlich ist, genügen Netz, Land und Netzbetreiber.

Die Zuordnung einer IP-Adresse zu Land und Netzbetreiber erfolgt lokal anhand einer Datenbankdatei auf unserem Server (DB-IP Lite, CC BY 4.0). Es wird kein Dienst eines Dritten befragt. Die Stadtebene nutzen wir bewusst nicht.

Dieses Protokoll ist nicht abschaltbar. Es ist eine Sicherheitsmaßnahme nach Art. 32 DSGVO, und wer sie abschaltbar macht, macht die Sicherheitsmaßnahme abschaltbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Konten, in denen die empfindlichsten Angaben dieses Produkts liegen.

Haushalte und mitversorgte Personen

Ein Haushalt trägt einen Namen, eine Anschrift, die daraus ermittelten Koordinaten, Zeitzone, Sprache und die Liste seiner Mitglieder. Die Anschrift wird gebraucht, um saisonale und regionale Angebote und Wege dorthin zu berechnen.

Die Umrechnung einer Anschrift in Koordinaten läuft auf unserem eigenen Nominatim-Server. Die öffentliche Instanz benutzen wir ausdrücklich nicht: Dabei gingen die Anschriften unserer Nutzerinnen und Nutzer an einen Dritten.

Wer eine andere Person in einem Haushalt anlegt, ist dafür verantwortlich, dass diese davon weiß. Gesundheitsbezogene Angaben einer Person bleiben auch im Haushalt privat, solange sie nicht ausdrücklich freigegeben werden. Für mitversorgte Personen gelten die Regeln im Abschnitt Gesundheitsbezogene Angaben: für Kinder unter 16 die Erklärung einer sorgeberechtigten Person, für Erwachsene nur ihre eigene Einwilligung mit eigenem Konto.

Eine Einladung in einen Haushalt speichert die eingeladene E-Mail-Adresse, einen Streuwert des Einladungsschlüssels und den Ablaufzeitpunkt.

Freigabe an Ärztinnen, Coaches und andere Fachkräfte

Du kannst einzelne Bereiche für eine Fachkraft freigeben, etwa Körperwerte, Ziele, gesundheitsbezogene Angaben, das Tagebuch oder die Präparateliste. Jede Freigabe ist ein eigener Vorgang mit eigener Einwilligung, eigener Textfassung und eigenem Zeitpunkt.

Ohne Freigabe sieht eine Fachkraft nichts. Der Widerruf wirkt sofort. Fachkräfte bekommen ihren Zugang von Hand und nicht über eine Selbstanmeldung, und sie stimmen vorher den Bedingungen für Fachkräfte zu, einschließlich der Verschwiegenheit.

Jeder Zugriff einer Fachkraft auf deine Angaben wird je Tag und Bereich protokolliert, und du siehst dieses Protokoll in der App unter „Einstellungen, Daten und Privatsphäre". Für Profile, die du im Haushalt betreust, steht es am jeweiligen Profil. Was eine Fachkraft in eigene Unterlagen übernimmt, verarbeitet sie in eigener Verantwortung.

Löschst du dein Konto oder lassen wir die Verarbeitung auf deinen Wunsch einschränken, erfährt das jede Fachkraft, der du gerade etwas freigegeben hast (Art. 19 DSGVO), damit sie ihre eigenen Unterlagen prüfen kann. Die E-Mail an sie nennt keinen Namen; im Backoffice der Fachkraft steht dein Name dabei, 90 Tage lang. Rechtsgrundlage ist diese Pflicht selbst (Art. 6 Abs. 1 lit. c DSGVO).

Tagebuch, Plan, Einkauf, Vorrat und Kassenbons

Aus der Benutzung entstehen: Einträge im Ernährungstagebuch mit Zeitpunkt, Menge und Nährwerten, Wochenpläne, Einkaufslisten, Vorratsbestände mit Haltbarkeitsdaten, Bewertungen und Sammlungen.

Ein fotografierter Kassenbon wird als Bild und als erkannter Text gespeichert. Der erkannte Text ist der vollständige Bon, also unter Umständen mehr, als für die Preisbeobachtung nötig wäre. Du kannst einen Bon jederzeit einzeln löschen.

Liest ein KI-Modell einen Bon oder ein Foto einer Mahlzeit, läuft es wie der Chat auf unserer eigenen Maschine, und was es erkennt, zeigt die App als automatisch erkannten Vorschlag, den du prüfst, bevor er zählt. Derzeit ist diese Erkennung im laufenden Betrieb abgeschaltet.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für die gesundheitsbezogenen Anteile deine ausdrückliche Einwilligung.

Wearables

Wenn du ein Wearable verbindest, holen wir Tageswerte wie Schritte, Ruhepuls, Schlafdauer und Schlafgüte. Gespeichert werden der Anbietername, eine Bezeichnung, der Stand der Verbindung und die Werte selbst.

Zugangsdaten zu deinem Wearable-Konto speichern wir nicht. Dafür gibt es keine Spalte in der Datenbank. Zum jetzigen Zeitpunkt ist zudem kein echter Anbieter angebunden; die Anbindung wird gegen eine öffentliche Testumgebung ohne Personenbezug entwickelt. Sobald ein echter Anbieter dazukommt, steht er hier namentlich, mit dem Land, in dem er sitzt.

Trennst du die Verbindung, werden die davon stammenden Werte mitgelöscht.

Standort

Der Standort wird nur mit einer eigenen Einwilligung verarbeitet und dient dazu, Angebote, Erzeuger und Wege in deiner Nähe zu finden sowie Luft-, Pollen- und UV-Werte für deinen Ort zu ermitteln.

Gespeichert werden Zeitpunkt, Koordinaten, Genauigkeit sowie Land, Postleitzahl und Ort. Wetter- und Luftdaten kommen von einer eigenen Open-Meteo-Instanz auf unserer Infrastruktur; auch dafür verlässt dein Standort das Haus nicht.

Du kannst den Standortverlauf jederzeit vollständig löschen, ohne die Einwilligung zu widerrufen, und du kannst die Einwilligung widerrufen, was den Verlauf mitlöscht.

Der KI-Chat

Derzeit ist der Chat im laufenden Betrieb abgeschaltet. Das ist eine Einstellung und keine Aussage über die Zukunft, deshalb steht hier trotzdem, was er tut, wenn er läuft.

Das Sprachmodell läuft auf unserer eigenen Maschine, über eine lokale Laufzeitumgebung. Es wird kein Dienst von OpenAI, Anthropic, Google oder einem anderen Anbieter aufgerufen, und es gibt keine Stelle im Quelltext, die das täte. Deine Frage verlässt den Server nicht.

Der Chat setzt die Einwilligung in die Gesundheitsangaben voraus, weil er mit ihnen antwortet. Gespräche aufbewahrt werden nur mit einer eigenen Einwilligung (Gesprächsverlauf); ohne sie verschwindet ein Gespräch, wenn du es schließt.

Mit dieser Einwilligung werden Frage und Antwort im Wortlaut gespeichert sowie der Grund, falls eine Antwort abgebrochen wurde. Nicht gespeichert werden der Systemtext, der Denkkanal des Modells und der einzelne beanstandete Satz einer abgebrochenen Antwort. Der Verlauf wird nach 180 Tagen gelöscht; du kannst jedes Gespräch vorher einzeln löschen, und ein Widerruf löscht alle.

Werkzeuge des Chats greifen teils auf deine eigenen Angaben zu, damit eine Antwort zu dir passt. Welche das sind, ist am jeweiligen Werkzeug hinterlegt.

Du weißt immer, wann eine Maschine spricht. Der Chat sagt von Anfang an, dass ein KI-System antwortet und kein Mensch, und jede Antwort ist als KI-generiert gekennzeichnet, auch maschinenlesbar. Texte, die ein Modell umformuliert oder übersetzt hat, etwa Kochschritte oder Namen von Zutaten, tragen in der App eine Marke.

Nutzungsstatistik

Um zu erkennen, welche Teile der App benutzt werden und welche nicht, werden Ereignisse festgehalten: welche Funktion, wann, in welcher Sitzung. Diese Ereignisse werden nur mit einer eigenen Einwilligung festgehalten; ohne sie entsteht keines. Du kannst sie jederzeit widerrufen; der Widerruf löscht sie.

Unabhängig davon halten wir je Konto fest, an welchen Tagen es angemeldet war, ohne Uhrzeit und ohne das, was du getan hast. Daraus entsteht die Zahl aktiver Nutzer, die wir als Anbieter einer Online-Plattform auf Verlangen der Behörden nennen müssen (Art. 24 Abs. 3 der Verordnung über digitale Dienste), und die Zahl, nach der wir den Betrieb bemessen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c und f DSGVO; gelöscht wird nach 400 Tagen.

Sie werden an niemanden übermittelt. Es ist kein Analysedienst angebunden, weder ein eigener noch ein fremder. Die Ereignisse liegen in unserer Datenbank und werden nach 180 Tagen gelöscht.

Fehlerberichte

Meldest du einen Fehler, kannst du eine Beschreibung, die Schritte dorthin, technische Angaben zu deinem Gerät und auf Wunsch ein Bildschirmfoto mitschicken. Ein Bildschirmfoto kann alles enthalten, was gerade auf dem Bildschirm stand, auch gesundheitsbezogene Angaben. Deshalb ist es freiwillig und hat eine eigene Einwilligung.

Automatische Fehlerberichte (technische Angaben, wenn in der App etwas schiefgeht) schickt die App nur mit deiner Einwilligung; voreingestellt ist sie nicht. Eine Meldung, die du selbst abschickst, ist davon unabhängig.

Bildschirmfotos werden nach 90 Tagen gelöscht, die übrige Meldung nach 365 Tagen. Du kannst deine eigenen Meldungen jederzeit löschen.

Kontaktformular und E-Mail

Schreibst du uns über das Kontaktformular, speichern wir dein Anliegen, deinen Namen (wenn du ihn angibst), deine E-Mail-Adresse und die Nachricht, um zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f DSGVO, bei Anfragen von Behörden auch lit. c. Wir löschen alles 365 Tage nach Abschluss.

Die Nachricht bleibt auf unserem Server. In unser Postfach geht nur ein Hinweis, dass etwas eingegangen ist, ohne deinen Text. Schreibst du uns dagegen eine E-Mail, liegt sie in unserem Postfach beim E-Mail-Anbieter (siehe Übermittlung außerhalb der EU).

Wählst du als Anliegen „Datenschutz", legen wir die Nachricht zusätzlich als Anfrage nach deinen Rechten mit Frist an, damit die Monatsfrist nicht davon abhängt, wann jemand sie liest.

Meldungen rechtswidriger Inhalte

Meldest du einen Inhalt über das Meldeformular oder in der App, speichern wir die Fundstelle, den Grund, deine Erläuterung, deine Erklärung, nach bestem Wissen zu melden, und, wenn du sie angibst, Namen und E-Mail-Adresse. Mit Adresse bestätigen wir dir den Eingang und teilen dir die Entscheidung mit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 der Verordnung über digitale Dienste.

Die Person, deren Inhalt du meldest, erfährt weder deinen Namen noch deine Adresse. Treffen wir eine Maßnahme, bekommt sie eine Begründung (Art. 17 der Verordnung); diese bewahren wir 1095 Tage auf, die Meldung selbst 365 Tage nach der Entscheidung. Keine dieser Mails trägt deine Erläuterung.

Antwortest du auf unsere Entscheidung, halten wir fest, wann deine Antwort einging, prüfen erneut und schreiben dir das Ergebnis mit Begründung. Das gilt für Meldende wie für die Person, die eine Maßnahme trifft.

Begründet ein Inhalt den Verdacht einer Straftat, die das Leben oder die Sicherheit von Menschen bedroht, informieren wir die Strafverfolgungsbehörden (Art. 18 der Verordnung über digitale Dienste; Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO). Dabei geben wir weiter, was die Behörde braucht, um die Gefahr abzuwenden, und halten fest, wann und was wir gemeldet haben, 1095 Tage lang.

Angaben über Erzeuger und Hofläden

SOMA zeigt Hofläden, Märkte und Erzeuger, deren Angaben aus öffentlichen Verzeichnissen stammen. Bei einem Betrieb, der unter dem Namen einer Person geführt wird, sind Name, Telefon und Adresse personenbezogen. Welche Angaben das sind, woher sie kommen und wie man widerspricht, steht in den Hinweisen für Erzeuger. Ein Widerspruch gilt auch für jeden künftigen Abruf der Quelle.

Auftragsverarbeiter und Empfänger

Für uns verarbeiten genau zwei Dienstleister Daten in unserem Auftrag, und mehr sind es nicht. Die Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit beiden schließen wir gerade ab:

Hetzner Online GmbH

Hosting, Rechenzentrum und Auslagerung der Sicherungen (EU: Deutschland und Finnland)

Spaceship, Inc.

Versand unserer E-Mails und unsere Postfächer für eingehende E-Mails (USA)

Datenbank, Zwischenspeicher, Dateiablage, Anmeldeverwaltung, Adresssuche, Karten, Wetterdaten und Routen laufen ausschließlich auf unserer eigenen Infrastruktur und sind keinem Dritten zugänglich.

Darüber hinaus geben wir Daten nur weiter, wenn du es verlangst (etwa eine Freigabe an eine Fachkraft) oder wenn wir gesetzlich dazu verpflichtet sind. Es gibt keine Übermittlung zu Werbezwecken, keinen Verkauf und keinen Tausch.

Was Anbieter und Erzeuger zu sehen bekommen

Wenn wir mit Herstellern, Handel oder Erzeugern zusammenarbeiten, bekommen diese eine Auswertung ohne Personenbezug und erst ab fünf Haushalten: wie oft ein Bezugsweg gewählt wurde. Keine Namen, keine Anschriften, keine Einkaufslisten. Auf die Reihenfolge in der App wirkt eine Vergütung nicht, und das ist eine Bauart und keine Zusage: Die bewertende Funktion bekommt den Namen des Anbieters gar nicht zu sehen.

Übermittlung außerhalb der EU

Deine Inhalte, also Profil, Tagebuch, Pläne, Bons und Chatverläufe, werden ausschließlich in der EU gespeichert und verarbeitet, in Rechenzentren in Deutschland und Finnland. In zwei Fällen findet dennoch ein Kontakt außerhalb der EU statt, und beide gehören genannt.

E-Mail-Versand

Nachrichten wie „Passwort vergessen" oder eine Einladung versenden wir über Spaceship, Inc. mit Sitz in den Vereinigten Staaten. Übermittelt werden die Empfängeradresse und der Inhalt der jeweiligen Nachricht. Grundlage werden die Standardvertragsklauseln der EU-Kommission (Beschluss 2021/914), die wir mit dem Vertrag zur Auftragsverarbeitung vereinbaren.

Beim selben Anbieter liegen unsere Postfächer: Was du uns per E-Mail schreibst, liegt dort. Für Gesundheitsangaben nimm deshalb lieber das Kontaktformular; dessen Nachrichten bleiben auf unserem Server.

Bitte versende über unsere Einladungs- und Hinweisfunktionen keine vertraulichen Angaben, die über den Zweck der jeweiligen Nachricht hinausgehen.

Bilder aus fremden Quellen

Produkt-, Rezept- und Zutatenbilder stammen aus fremden Quellen, unter anderem Open Food Facts, Wikimedia Commons und Koch-Wiki. Dein Browser lädt sie nie dort, sondern von unserem eigenen Server: Er holt ein Bild beim ersten Abruf einmal bei der Quelle, verkleinert es und liefert es danach selbst aus. Die Quelle erfährt dabei die Adresse unseres Servers, nicht deine.

Ein Bild aus einer Quelle, die unser Server nicht abrufen darf, zeigen wir nicht an.

Wie lange wir etwas behalten

Anmeldeprotokoll

400 Tage

Vollständige IP-Adresse in Anmeldeprotokoll, Sitzungen und Geräten (danach nur das Netz)

30 Tage

Beendete Sitzungen

90 Tage

Geräte mit Kontobezug

180 Tage

Geräte, die nie zu einem Konto gehörten

30 Tage

Nutzungsereignisse

180 Tage

Chatverläufe

180 Tage

Standortverlauf

365 Tage

Chronik der Präparate und Medikamente

365 Tage

Fehlermeldungen

365 Tage

Bildschirmfotos in Fehlermeldungen

90 Tage

Rückmeldungen über „Hilf uns"

365 Tage

Kontaktanfragen, gerechnet ab dem Abschluss

365 Tage

Meldungen rechtswidriger Inhalte, gerechnet ab der Entscheidung

365 Tage

Begründungen von Moderationsentscheidungen und Nachweise über Meldungen an Strafverfolgungsbehörden

1095 Tage

Protokoll, wann unser Betrieb Daten zu deinem Konto angesehen hat

365 Tage

Protokoll der Handlungen unseres Betriebs in der Verwaltung

1095 Tage

Protokoll versandter E-Mails (Adresse und Inhalt vorher geleert)

60 Tage

Belege über Mitteilungen neuer Rechtstexte und über Vorfälle (ab Ende des Kalenderjahres)

6 Jahre

Nachweise über Zustimmungen und Einwilligungen nach dem Ende des Kontos (ohne Gesundheitsdaten, ab Ende des Kalenderjahres)

6 Jahre

Anfragen nach Art. 15 bis 22 DSGVO und unsere Antwort darauf (ab Ende des Kalenderjahres, in dem sie abgeschlossen wurden)

3 Jahre

Mitteilung an eine Fachkraft mit deiner Freigabe, dass du dein Konto gelöscht oder die Verarbeitung eingeschränkt hast (mit deinem Namen, nur im Backoffice dieser Fachkraft)

90 Tage

Suchbegriffe, zu denen es keinen Treffer gab

180 Tage

Zwischenspeicher der Adresssuche

365 Tage

Bestätigter Wartelisteneintrag

bis zum Start oder bis zur Abmeldung

Unbestätigter Wartelisteneintrag (ohne Klick auf den Bestätigungslink)

7 Tage

Profil, Tagebuch, Pläne, Vorrat, Bons

bis du sie oder das Konto löschst

Konto ohne Nutzung, danach gelöscht (vorher drei Warnungen per E-Mail)

730 Tage

Protokoll, wann eine Fachkraft deine freigegebenen Angaben gelesen hat

400 Tage

Tage, an denen dein Konto angemeldet war (ohne Uhrzeit und Inhalt), für die Zahl aktiver Nutzer

400 Tage

Einladungen in einen Haushalt, nachdem sie angenommen, zurückgezogen oder abgelaufen sind

90 Tage

Zugangseinladungen zur geschlossenen Testphase, nachdem sie eingelöst, widerrufen oder abgelaufen sind

90 Tage

Bild und Name deiner Unterschrift unter die Alpha-Vereinbarung (ab Ende des Jahres, in dem die Vertraulichkeitspflicht endet; danach bleibt nur die Prüfsumme bis zur Frist der Nachweise)

3 Jahre

Unterschrift ohne Zeichnung, deren Bestätigungslink nicht geklickt wurde (ab Ablauf des Links)

30 Tage

Erledigte Meldungen zu Produkten („Hier stimmt etwas nicht")

365 Tage

Sicherungen

7 tägliche und 4 wöchentliche Stände

Kassenbons (Bild und erkannter Text) zählen zu deinen Inhalten und bleiben, bis du sie löschst. Das Zugriffsprotokoll des Webservers ist nach Größe begrenzt, nicht nach Tagen (siehe Was diese Website erhebt).

Die Fristen der oberen Zeilen werden von nächtlichen Pflegeläufen durchgesetzt, nicht von Hand. Eine Frist, die kein Lauf durchsetzt, ist eine Absicht und keine Eigenschaft.

Für deine eigenen Inhalte gibt es bewusst keine feste Frist. Ein Tagebuch, das nach einem Jahr Löcher bekommt, ist als Tagebuch wertlos. Sie bleiben, bis du sie löschst oder das Konto endet, durch dich oder nach 24 Monaten ohne Nutzung. Gesetzliche Aufbewahrungsfristen bleiben unberührt; sie betreffen Belege und keine gesundheitsbezogenen Angaben.

Automatisierte Entscheidungen und Profilbildung

Es gibt keine automatisierte Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt (Art. 22 DSGVO). Über Sperren und das Entfernen von Inhalten entscheidet ein Mensch.

SOMA rechnet aus deinen Angaben, etwa Körperwerten, Zielen, Ausschlüssen und Erkrankungen, Vergleichswerte und Vorschläge: welche Rezepte passen, wie ein Tag im Verhältnis zu Referenzwerten steht, was sich an einem Rezept verbessern ließe. Das ist eine Auswertung persönlicher Aspekte und damit Profilbildung im Sinne von Art. 4 Nr. 4 DSGVO. Sie dient nur dir, ändert nichts ohne dein Zutun und geht an niemanden, dem du nichts freigegeben hast. Rechtsgrundlage ist der Nutzungsvertrag, für gesundheitsbezogene Angaben deine ausdrückliche Einwilligung.

Automatisch läuft außerdem die Löschung eines Kontos nach 730 Tagen ohne Nutzung, mit drei Warnungen per E-Mail vorher; eine Anmeldung genügt, um sie aufzuhalten.

Deine Rechte

Art. 15

Auskunft über die zu dir gespeicherten Daten

Art. 16

Berichtigung unrichtiger Angaben

Art. 17

Löschung, soweit keine Aufbewahrungspflicht entgegensteht

Art. 18

Einschränkung der Verarbeitung

Art. 20

Herausgabe in einem gängigen, maschinenlesbaren Format

Art. 21

Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen

Art. 7 Abs. 3

Widerruf einer erteilten Einwilligung

Was du selbst tun kannst, ohne uns zu fragen

• Einen Bericht abrufen, lesbar oder als JSON-Datei: Profil, Körperwerte, Erkrankungen, Ausschlüsse, Präparate und das Ernährungstagebuch der letzten bis zu 92 Tage.
• Alle Daten zu deinem Konto als ZIP-Datei herunterladen (Art. 15 Abs. 3, Art. 20), unter „Einstellungen, Konto und Sicherheit", nach einer frischen Anmeldung: je Tabelle die Zeilen als JSON, dazu Profilbild und Bildschirmfotos und eine Liste dessen, was ausgelassen ist und warum. Dabei liegen die Angaben nach Art. 15 Abs. 1: an wen du etwas freigegeben hast, unsere Auftragsverarbeiter, jede Speicherfrist, woher die Daten stammen, und diese Erklärung in der Fassung, die gerade gilt. Ausgelassen sind die Angaben anderer Erwachsener im Haushalt (sie haben ihren eigenen Export), Schlüssel und Streuwerte, die etwas öffnen würden, interne Notizen und der Suchindex. Passwort und zweiter Faktor liegen ohnehin nur in der Anmeldeverwaltung.
• Sehen, wer auf deine Daten zugegriffen hat: Fachkräfte mit Name, Bereich und Tag, unser Betrieb mit Bereich, Tag und ob angesehen oder geändert, unter „Einstellungen, Daten und Privatsphäre".
• Das Konto mit allen Angaben löschen, unter „Einstellungen, Konto", nach einer frischen Anmeldung.
• Eine Übersicht darüber öffnen, welche Blöcke zu deinem Konto gespeichert sind, mit Menge und Frist je Block.
• Standortverlauf, Nutzungsereignisse, Chatverläufe, Chronik der Präparate, Fehlermeldungen und einzelne Einträge löschen.
• Sitzungen und Geräte beenden, Freigaben und Einwilligungen widerrufen.

Was einen Menschen braucht: deine Anfragen

Alles, was die App nicht selbst kann, stellst du unter „Einstellungen, Daten und Privatsphäre, Meine Anfragen": etwa eine Einschränkung der Verarbeitung, einen Widerspruch, die Änderung deiner E-Mail-Adresse oder eine Frage, die in kein Formular passt. Dort siehst du auch, bis wann wir antworten und was wir geantwortet haben. Genauso genügt eine formlose Nachricht an datenschutz@soma.recipes oder über das Kontaktformular.

Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang. Ist eine Anfrage aufwendig, können wir die Frist um höchstens zwei Monate verlängern; das sagen wir dir vorher und nennen den Grund (Art. 12 Abs. 3). Kommt eine Anfrage nicht aus der App und haben wir begründete Zweifel, dass sie von dir stammt, fragen wir nach, bevor wir Daten herausgeben (Art. 12 Abs. 6). Lehnen wir ab, nennen wir die Gründe und dein Recht auf Beschwerde.

Damit wir nachweisen können, dass wir rechtzeitig geantwortet haben, bewahren wir jede Anfrage mit Eingang, Frist und Antwort auf, 3 Jahre lang (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 DSGVO). Interne Notizen dazu sind nicht Teil deines Exports.

Wenn die Verarbeitung eingeschränkt ist (Art. 18)

Schränken wir die Verarbeitung deiner Daten ein, speichern wir sie nur noch. Keine Fachkraft und kein anderes Konto sieht sie dann über eine Freigabe, und wir löschen dein Konto nicht wegen Nichtbenutzung. Du selbst benutzt SOMA weiter wie bisher; was du dort tust, veranlasst du selbst. Bevor wir eine Einschränkung aufheben, schreiben wir dir.

Dein Widerspruchsrecht

Du kannst jederzeit widersprechen, wenn wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), und zwar aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Bei SOMA betrifft das das Sicherheitsprotokoll mit IP-Adressen, das Protokoll der Zugriffe unseres Betriebs, die Belege über Mitteilungen neuer Rechtstexte, die Zählung der Tage, an denen dein Konto angemeldet war, und Anfragen über das Kontaktformular.

Widersprichst du, verarbeiten wir diese Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder wir brauchen sie, um Rechtsansprüche geltend zu machen oder abzuwehren. Solange wir das prüfen, kannst du verlangen, dass wir die Verarbeitung einschränken.

Werbung schicken wir nicht. Widersprechen kannst du in der App unter „Meine Anfragen" oder formlos an datenschutz@soma.recipes.

Datensicherheit

• Die Verbindung läuft ausschließlich über TLS, mit Zertifikaten von Let’s Encrypt.
• Nur der Reverse Proxy ist von außen erreichbar. Datenbank, Anmeldeverwaltung und alle übrigen Dienste sind ausschließlich intern erreichbar.
• Der Server nimmt Anmeldungen nur mit Schlüssel an, hält nur drei Netzwerkzugänge öffentlich offen (dazu einen für unsere Überwachung, den nur deren Server erreicht) und bezieht Sicherheitsaktualisierungen selbsttätig.
• E-Mail-Adressen in Anmeldeprotokollen werden nur als Streuwert mit serverseitigem Zusatzgeheimnis gespeichert.
• Gegen automatisierte Absendungen der Formulare ohne Anmeldung (Registrierung, Warteliste, Kontakt, Meldung) rechnet dein Browser vor dem Absenden eine kleine Aufgabe, die unser Server stellt und prüft. Gespeichert wird dabei nichts über dich, und kein Drittanbieter ist beteiligt.
• Jeder Zugriff unseres Betriebs auf personenbezogene Daten in der Verwaltung wird protokolliert: wer, wann, welche Handlung und welches Konto betroffen war, mit gekürzter IP-Adresse. Lesende Zugriffe bleiben 365 Tage im Protokoll, Handlungen 1095 Tage. Folgenreiche Handlungen, etwa das Freischalten einer Fachkraft oder das Sperren eines Kontos, verlangen eine frische Anmeldung mit zweitem Faktor. In der App siehst du diese Zugriffe je Tag und Bereich, ohne Namen und Adresse der Person im Betrieb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, jeden Zugriff auf deine Daten belegen zu können, auch dir gegenüber (Art. 15).
• Die tägliche Sicherung umfasst die Anwendungs- und die Anmeldedatenbank, wird verschlüsselt ausgelagert und regelmäßig zurückgespielt, weil eine ungeprüfte Sicherung keine ist.
• Die Festplatten des Servers sind noch nicht verschlüsselt. Ein Neuaufbau mit Plattenverschlüsselung ist geplant; bis dahin hängt der Schutz vor allem daran, dass niemand außer uns an den Server kommt.

Beschwerde bei einer Aufsichtsbehörde

Du kannst dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Behörde am Sitz der Anbieterin:

Erreichbar über www.baden-wuerttemberg.datenschutz.de. Du kannst dich ebenso an die Behörde deines Wohnorts oder deines Arbeitsplatzes wenden.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Jede Fassung trägt ein Datum, und die App hält fest, welche Fassung du zur Kenntnis genommen hast; zustimmen musst du einer Datenschutzerklärung nicht. Zu jeder Zustimmung und Kenntnisnahme speichern wir Fassung, Zeitpunkt und nur das grobe Netz, aus dem sie kam (bei IPv4 die ersten zwei Blöcke, bei IPv6 die ersten zwei Gruppen). Eine wesentlich neue Fassung teilen wir dir per E-Mail und in der App mit (siehe Mitteilungen); eine rein redaktionelle bekommt nur ein neues Datum. Ändern sich Verarbeitungen, die auf deiner Einwilligung beruhen, fragen wir erneut, statt die alte Einwilligung weiterzuverwenden.

Was hier noch offen ist

Punkte, die wir nennen, statt sie erst auf Nachfrage zuzugeben:

• Eine oder ein Datenschutzbeauftragter ist noch nicht benannt. Die Benennung ist Pflicht (§ 38 Abs. 1 Satz 2 BDSG) und in Vorbereitung.
• Die Festplatten des Servers sind noch nicht verschlüsselt; der Neuaufbau ist geplant.
• Der Vertrag zur Auftragsverarbeitung mit Spaceship und die Standardvertragsklauseln mit Spaceship sind noch nicht abgeschlossen. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.
• Dieser Text ist ein Entwurf und noch nicht anwaltlich geprüft.

Was hier steht, ist gegen den gebauten Zustand geschrieben. Wer eine Verarbeitung hinzufügt, ändert diesen Text, bevor er sie einschaltet, und nicht danach.