Datenschutzerklärung

nom nom – Smarter KI-Kalorienzähler (Stand: November 2026)

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung in nom nom im Sinne der DSGVO ist:

Adrian Wulf

Hechtseestraße 70, 81671 München, Deutschland

E-Mail: adj.wulf@gmail.com

2. Welche Daten wir verarbeiten

Kontodaten: Anzeigename, E-Mail-Adresse, gehashtes Passwort (PBKDF2-HMAC-SHA256 mit individuellem Salt), Bestätigungs- und Rücksetzcodes in gehashter Form.
Körper- und Zielwerte (freiwillig): Körpergewicht, Körpergröße, Alter, Geschlecht, Aktivitätslevel, Zieltyp, Kalorien- und Makroziele.
Ernährungstagebuch: Mahlzeiten mit Datum und Uhrzeit, Nährwerte (Kalorien, Eiweiß, Kohlenhydrate, Zucker, Fett, gesättigte und ungesättigte Fettsäuren, Ballaststoffe, Salz), Produktvorlagen und KI-Auswertungen.
KI-Eingaben: Mahlzeitenfotos, Sprachaufnahmen und Texte, die du für eine KI-Funktion absendest.
Abo-Daten: Abo-Status, Laufzeit und Transaktionskennungen von Apple. Zahlungsdaten erhalten wir nicht.
Missbrauchsschutz: eine zufällige Geräte-ID, die in der App gespeichert wird, sowie Prüfsummen (SHA-256) von E-Mail-Adresse, Geräte-ID und IP-Adresse, damit die kostenlose Testphase nur einmal genutzt wird.
Technische Daten: IP-Adresse und Server-Protokolle beim Aufruf der App; auf dem Gerät gespeicherte Anmelde-, Sprach- und Darstellungsdaten.
Nutzungszähler der KI-Funktionen: pro Konto und Tag, wie oft du welche KI-Funktion genutzt hast (Foto, Text, Sprache, Anpassung, KI-Coach), ob die Anfrage geklappt hat und wie viele Tokens Google dafür berechnet hat. Inhalte deiner Anfragen speichern wir dafür nicht.

3. Zwecke und Rechtsgrundlagen

Konto, App-Funktionen und Abo-Abwicklung: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
Ernährungs- und Körperangaben: deine ausdrückliche Einwilligung bei der Registrierung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), da sie Rückschlüsse auf deine Gesundheit erlauben können.
KI-Funktionen über Google Gemini: deine gesonderte ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO).
Missbrauchsschutz, Sicherheit und Betrieb: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Nutzungszähler der KI-Funktionen für Abrechnung, Kostenkontrolle und Missbrauchsvermeidung: berechtigtes Interesse am wirtschaftlichen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Wir werten sie nur intern aus, nicht für Werbung oder Profile, und geben sie nicht weiter.

4. KI-Funktionen mit Google Gemini

Erst wenn du zugestimmt hast und eine KI-Funktion nutzt, sendet unser Server folgende Daten TLS-verschlüsselt an die Google Gemini API (Google Ireland Limited / Google LLC):

Foto-, Text-, Sprach- und Nährwerttabellen-Erfassung sowie KI-Anpassungen: das Foto, der Text oder die Sprachaufnahme und bei Anpassungen die betroffene Mahlzeit.
KI-Coach: bis zu 40 Mahlzeiten des gewählten Zeitraums mit Datum, Uhrzeit, Bezeichnung und Nährwerten, deine Durchschnittswerte sowie deine Kalorien- und Makroziele.
Nicht übermittelt werden dein Anzeigename, deine E-Mail-Adresse und dein Passwort. Bitte schreibe keine solchen Angaben in Freitexte.
Mahlzeitenfotos und Sprachaufnahmen speichern wir nach der Auswertung nicht dauerhaft auf unserem Server.

KI-Ergebnisse sind Schätzungen. Deine Einwilligung kannst du jederzeit unter Einstellungen → Profil → Rechtliches widerrufen. Manuelle Erfassung und Barcode bleiben ohne Einwilligung nutzbar.

5. Empfänger und Dienstleister

Render Services, Inc. (Hosting; Serverstandort Frankfurt am Main).
Cloudflare, Inc. (Netzwerk- und Sicherheitsdienst, verarbeitet Verbindungsdaten).
Resend (Versand von Bestätigungs- und Passwort-E-Mails; verarbeitet E-Mail-Adresse und Anzeigename).
Google Ireland Limited / Google LLC (KI-Funktionen, siehe Abschnitt 4).
Apple (Abwicklung der In-App-Käufe in eigener Verantwortung).
Open Food Facts: Beim Barcode-Scan fragt unser Server nur die Barcode-Nummer in dieser öffentlichen Datenbank ab.

Einige Dienstleister sitzen in den USA oder können Daten dorthin übermitteln. Grundlage sind, soweit vorhanden, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework und im Übrigen EU-Standardvertragsklauseln. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

6. Kein Tracking

Die App enthält keine Werbe-Tracker und keine Analyse-SDKs von Drittanbietern.

7. Speicherdauer

Konto- und Tagebuchdaten speichern wir, bis du sie oder dein Konto löschst. Unbestätigte Registrierungen und Codes verfallen nach kurzer Zeit. Die Nutzungszähler der KI-Funktionen speichern wir 12 Monate pro Konto; danach behalten wir nur Summen ohne Bezug zu einem Konto. Bei einer Kontolöschung entfernen wir sie sofort. Nach einer Kontolöschung bleiben allein die Prüfsummen zum Missbrauchsschutz gespeichert; sie sind pseudonyme Daten und enthalten keine Klartext-Adresse. Unser Hoster erstellt täglich technische Sicherungskopien, die 7 Tage aufbewahrt werden. Gelöschte Daten können darin noch bis zu 7 Tage enthalten sein und werden danach automatisch entfernt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

8. Löschen und Exportieren

Du kannst dein Konto und die zugehörigen Daten jederzeit unter Einstellungen → Profil → „Mein Konto endgültig löschen“ löschen. Unter Einstellungen → Darstellung & Daten kannst du deine Daten exportieren. Ein laufendes Apple-Abo musst du gesondert über Apple kündigen.

9. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt davon unberührt. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht.

10. Mindestalter

nom nom richtet sich ausschließlich an Personen ab 18 Jahren.

1. Data Controller

The controller for data processing in nom nom under the GDPR is:

Adrian Wulf

Hechtseestraße 70, 81671 Munich, Germany

Email: adj.wulf@gmail.com

2. What Data We Process

Account data: display name, email address, hashed password (PBKDF2-HMAC-SHA256 with individual salt), confirmation and reset codes in hashed form.
Body and goal data (optional): body weight, height, age, gender, activity level, goal type, calorie and macro goals.
Nutrition diary: meals with date and time, nutrition values (calories, protein, carbohydrates, sugars, fat, saturated and unsaturated fatty acids, fiber, salt), product templates and AI reviews.
AI inputs: meal photos, voice recordings and text you submit to an AI feature.
Subscription data: subscription status, term and Apple transaction identifiers. We do not receive payment details.
Abuse prevention: a random device ID stored in the app, and SHA-256 checksums of email address, device ID and IP address, so the free trial can only be used once.
Technical data: IP address and server logs when using the app; sign-in, language and display data stored on your device.
AI usage counters: per account and day, how often you used which AI feature (photo, text, voice, adjustment, AI coach), whether the request succeeded and how many tokens Google charged for it. We do not store the content of your requests for this.

3. Purposes and Legal Bases

Account, app features and subscription handling: contract (Art. 6(1)(b) GDPR).
Nutrition and body data: your explicit consent at registration (Art. 6(1)(a), Art. 9(2)(a) GDPR), as this data can reveal information about your health.
AI features via Google Gemini: your separate explicit consent (Art. 6(1)(a), Art. 9(2)(a) GDPR).
Abuse prevention, security and operation: legitimate interest (Art. 6(1)(f) GDPR).
AI usage counters for billing, cost control and abuse prevention: legitimate interest in running the service economically and securely (Art. 6(1)(f) GDPR). We only evaluate them internally, never for advertising or profiling, and do not share them.

4. AI Features with Google Gemini

Only after you have agreed and use an AI feature, our server sends the following data, TLS-encrypted, to the Google Gemini API (Google Ireland Limited / Google LLC):

Photo, text, voice and nutrition label logging and AI refinements: the photo, text or voice recording and, for refinements, the meal concerned.
AI coach: up to 40 meals from the selected period with date, time, name and nutrition values, your averages, and your calorie and macro goals.
Your display name, email address and password are not sent. Please do not enter such details in free text.
We do not permanently store meal photos or voice recordings on our server after analysis.

AI results are estimates. You can withdraw your consent at any time under Settings → Profile → Legal. Manual and barcode logging remain available without consent.

5. Recipients and Service Providers

Render Services, Inc. (hosting; server location Frankfurt am Main).
Cloudflare, Inc. (network and security service, processes connection data).
Resend (sending confirmation and password emails; processes email address and display name).
Google Ireland Limited / Google LLC (AI features, see section 4).
Apple (handling in-app purchases under its own responsibility).
Open Food Facts: for barcode scans, our server only looks up the barcode number in this public database.

Some providers are based in the USA or may transfer data there. The basis is, where available, the adequacy decision on the EU-US Data Privacy Framework and otherwise EU standard contractual clauses. We do not sell data or share it for advertising.

6. No Tracking

The app contains no advertising trackers and no third-party analytics SDKs.

7. Retention

We keep account and diary data until you delete it or your account. Unconfirmed registrations and codes expire after a short time. We keep AI usage counters per account for 12 months; after that we only keep totals not linked to any account. When you delete your account, we remove them immediately. After account deletion, only the abuse-prevention checksums remain; they are pseudonymous data and contain no plain-text address. Our hosting provider creates daily technical backups that are kept for 7 days. Deleted data may remain in these backups for up to 7 days and is then removed automatically. Statutory retention duties remain unaffected.

8. Deletion and Export

You can delete your account and associated data at any time under Settings → Profile → "Permanently Delete My Account". You can export your data under Settings → Display & data. An active Apple subscription must be cancelled separately through Apple.

9. Your Rights

You have the right of access, rectification, erasure, restriction of processing, data portability and objection (Art. 15–21 GDPR). You can withdraw consent at any time with effect for the future; this does not affect the lawfulness of earlier processing. You may also lodge a complaint with a data protection authority, for example the Bavarian State Office for Data Protection Supervision.

10. Minimum Age

nom nom is intended exclusively for people aged 18 and over.

Datenschutz • Nutzungsbedingungen • Impressum

Zurück zur App