Datenschutzerklärung

1. Verantwortlicher

Nach dem türkischen Gesetz Nr. 6698 über den Schutz personenbezogener Daten („KVKK“) ist Foodlex Verantwortlicher für Daten zu den Konten der Ernährungsfachkräfte, zu Abonnements und Zahlungen sowie zu Besuchen der öffentlichen Seiten. Für Klient:innendaten, die Ernährungsfachkräfte auf der Plattform erfassen, ist die Ernährungsfachkraft verantwortlich; Foodlex ist Auftragsverarbeiter und verarbeitet sie in ihrem Auftrag und nach ihren Weisungen. Klient:innen richten Anfragen zunächst an ihre Ernährungsfachkraft; Foodlex unterstützt sie bei der Beantwortung.

2. Verarbeitete personenbezogene Daten

Über unsere Plattform werden folgende Kategorien personenbezogener Daten verarbeitet:

• Identitätsdaten: vollständiger Name, Geburtsdatum, Geschlecht
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Gesundheitsdaten: Größe, Gewicht, Body-Mass-Index, Körperfett, Taillen- und Hüftumfang, Erkrankungen, Medikamente, Allergien
• Ernährungsvorlieben: Einschränkungen, Lebensmittelvorlieben, bevorzugte Küche
• Finanzdaten: Zahlungsdaten, verarbeitet über Polar. Kartendaten speichern wir nicht.
• Nutzungsdaten: Besuche der Plattform und öffentlicher Seiten, Ereignisse bei Registrierung und E-Mail-Bestätigung, Zugriffszeiten, verweisende Seite und Browserangaben; Google-Tags werden erst nach Ihrer Auswahl geladen

3. Zwecke der Verarbeitung

• Bereitstellung der Klient:innenverwaltung für Ernährungsfachkräfte
• Erstellung individueller, KI-gestützter Ernährungspläne
• Wöchentliche Verlaufskontrolle und Berichte
• Verwaltung von Abonnements und Zahlungen
• Sicherheit der Plattform
• Erfüllung gesetzlicher Pflichten
• Messung und Verbesserung der öffentlichen Seiten; optionale Statistiken nur mit Ihrer Einwilligung

4. Rechtsgrundlage

Ihre personenbezogenen Daten werden nach den Artikeln 5 und 6 des KVKK auf folgenden Grundlagen verarbeitet:

• Ihre ausdrückliche Einwilligung, insbesondere für Gesundheitsdaten und optionale Statistiken
• Abschluss und Erfüllung eines Vertrags
• Erfüllung einer rechtlichen Verpflichtung
• Unsere berechtigten Interessen, nämlich die Sicherheit der Plattform

5. Speicherdauer

Klient:innendaten werden gespeichert, solange das Konto der Ernährungsfachkraft besteht und sie die Akte im System führt. Löscht eine Ernährungsfachkraft eine Akte, werden Akte, Messwerte und Ernährungspläne endgültig gelöscht. Schließt sie ihr Konto, werden das Konto und alle damit verbundenen Klient:innendaten gelöscht.

6. Datensicherheit

Folgende Maßnahmen schützen Ihre Daten:

• Gesundheitsdaten – Erkrankungen, Medikamente, Allergien, Laborwerte – und Kontaktdaten werden mit Fernet (AES-128-CBC + HMAC-SHA256) verschlüsselt, bevor sie in die Datenbank geschrieben werden
• Alle Daten werden bei der Übertragung mit TLS verschlüsselt
• Der Datenbankzugriff ist durch Sicherheit auf Zeilenebene (RLS) begrenzt
• Jeder Zugriff auf Daten und jede Änderung wird in einem Prüfprotokoll festgehalten

6a. Speicherort und Übermittlung ins Ausland

Die Server und die Datenbank von Foodlex werden in der Europäischen Union in Amsterdam (Niederlande) betrieben. Zur Erbringung des Dienstes werden Ihre personenbezogenen Daten an folgende Auftragsverarbeiter übermittelt:

• Railway (Niederlande) – Hosting von Anwendung und Datenbank
• Netlify (Vereinigte Staaten) – Auslieferung der Weboberfläche
• OpenRouter / Google (Vereinigte Staaten) – Erstellung der Ernährungspläne. Name, E-Mail-Adresse und Telefonnummer der Klient:innen werden nicht übermittelt; Namen, E-Mail-Adressen und Telefonnummern in Freitextfeldern werden vor dem Versand entfernt. Verarbeitet werden Alter, Geschlecht, Messwerte und Gesundheitsangaben. Anfragen gehen nur an Endpunkte, die die Daten weder speichern noch zum Training von Modellen verwenden (Zero Data Retention).
• Mailjet (Frankreich) – E-Mail-Versand
• Polar (Vereinigte Staaten) – Abonnements und Zahlungen. Betrifft nur die eigenen Rechnungsdaten der Ernährungsfachkraft; Klient:innendaten werden nicht übermittelt.
• Google Tag Manager und Google Analytics (Google) – werden auf öffentlichen Seiten nur geladen, wenn Sie Statistiken erlauben, und dienen der Messung von Seitenaufrufen. Google kann die besuchte und die verweisende Seite, Browser-/Geräteangaben und Verbindungsdaten verarbeiten; Daten können über die Infrastruktur von Google ins Ausland übermittelt werden. Auf Anmelde-, Konto- und Aktenseiten werden diese Werkzeuge nicht geladen.

Übermittlungen von Klient:innendaten, die zur Erbringung des Dienstes nötig sind, erfolgen auf Grundlage der jeweiligen Hinweise und der Einwilligung der Klient:innen. Ihre Wahl zu optionalen Statistiken auf öffentlichen Seiten wird gesondert erfasst: Lehnen Sie ab, wird der Google Tag Manager nicht geladen. Sie können Ihre Wahl über die Schaltfläche „Datenschutzeinstellungen“ unten auf der Seite ändern. Diese Wahl ist unabhängig von Einwilligungen zu Klient:innendaten.

7. Ihre Rechte

Nach Artikel 11 des KVKK haben Sie folgende Rechte:

• Zu erfahren, ob Ihre personenbezogenen Daten verarbeitet werden
• Auskunft über eine erfolgte Verarbeitung zu verlangen
• Den Zweck der Verarbeitung zu erfahren und ob die Daten diesem Zweck entsprechend verwendet werden
• Zu erfahren, ob Daten im In- oder Ausland übermittelt werden
• Die Berichtigung unvollständiger oder falscher Daten zu verlangen
• Die Löschung oder Vernichtung zu verlangen
• Einer Sie benachteiligenden Entscheidung zu widersprechen, die allein durch automatisierte Auswertung Ihrer Daten zustande kam
• Schadensersatz zu verlangen, wenn Ihnen durch rechtswidrige Verarbeitung ein Schaden entstanden ist

8. Empfänger der Daten

Ihre personenbezogenen Daten können über unsere Dienstleister an folgende Stellen gelangen:

• OpenRouter: Erstellung KI-gestützter Ernährungspläne (Name und Kontaktdaten werden nicht übermittelt; nur Endpunkte ohne Datenspeicherung)
• Polar: Zahlungsabwicklung als Händler (Merchant of Record)
• Mailjet: E-Mail-Versand
• Google: Google Tag Manager zur Messung öffentlicher Seiten, nur wenn erlaubt

9. Kontakt

Um Ihre Rechte wahrzunehmen, erreichen Sie uns auf einem dieser Wege:

E-Mail: kvkk@foodlex.co

10. Wenn Sie sich im Europäischen Wirtschaftsraum oder im Vereinigten Königreich befinden

Für die Konten der Ernährungsfachkräfte ist Foodlex auch nach der DSGVO und der UK GDPR Verantwortlicher. Für Klient:innendaten ist die Ernährungsfachkraft verantwortlich; Foodlex verarbeitet sie in ihrem Auftrag nach dem Auftragsverarbeitungsvertrag, der die EU-Standardvertragsklauseln enthält.

Rechtsgrundlagen nach Artikel 6 DSGVO: Erfüllung des Vertrags über Ihr Konto und Abonnement (6 Abs. 1 lit. b); Erfüllung rechtlicher Pflichten wie der Aufbewahrung steuerlicher Unterlagen (6 Abs. 1 lit. c); unser berechtigtes Interesse an der Sicherheit der Plattform und der Verhinderung von Missbrauch (6 Abs. 1 lit. f); sowie Ihre Einwilligung zu optionalen Statistiken (6 Abs. 1 lit. a), die Sie jederzeit widerrufen können.

Foodlex wird aus der Türkei betrieben, und einige Dienstleister sitzen in den Vereinigten Staaten. Übermittlungen außerhalb des EWR und des Vereinigten Königreichs stützen sich auf die Standardvertragsklauseln der Europäischen Kommission, für das Vereinigte Königreich mit dem UK Addendum, oder – bei zertifizierten Anbietern – auf das EU-US Data Privacy Framework.

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Schreiben Sie an kvkk@foodlex.co. Außerdem können Sie sich bei der Datenschutzaufsichtsbehörde des Landes beschweren, in dem Sie leben oder arbeiten.