Datenschutzerklärung

Stand: 4. September 2026

Diese Datenschutzerklärung erläutert, wie die Wotaso GmbH personenbezogene Daten bei der Nutzung der VegPlan-App, der Website vegplan.app und der dazugehörigen Dienste verarbeitet. VegPlan kann grundsätzlich ohne Namens- oder E-Mail-Konto mit einer zufälligen, pseudonymen Installationskennung genutzt werden.

1. Verantwortlicher

Wotaso GmbH
Bostonring 5
71686 Remseck am Neckar
Deutschland
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Für Datenschutzanliegen erreichst du uns unmittelbar unter der genannten E-Mail-Adresse.

2. Welche Daten wir verarbeiten

• Technische Kennungen: zufällige Installations- und Nutzerkennung, gehashte Sitzungstokens, App-Version, Sprache sowie Sicherheits- und Verbindungsdaten.
• Planungsangaben: Ernährungsweise, Haushaltsgröße, Essenszeiten, Budget, Kochzeit, Geräte, Vorlieben, Abneigungen, Einkaufsregion und ausgewählte Läden.
• Freiwillige gesundheitsbezogene Angaben: etwa Allergien, Unverträglichkeiten, Ernährungsziele sowie lokal berechnete tägliche Energie- und Proteinziele. Alter, Größe, Gewicht und Aktivitätsniveau bleiben auf deinem Gerät und werden nicht an unsere Server übermittelt.
• Nutzungsinhalte: Speisepläne, Rezepte, Einkaufslisten, Vorräte, Bewertungen, Rezept-Feedback und Anfragen an den Plan-Assistenten.
• Optionale Inhalte: Sprachaufnahmen zur Transkription, private Essensfotos, freiwillig eingereichte Community-Inhalte und Push-Token.
• Kaufdaten: pseudonyme App-Store-Kundenkennung, Produkt, Berechtigungs- und Transaktionsstatus. Vollständige Zahlungsdaten erhalten wir nicht.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung, Personalisierung und Synchronisierung von Plänen, Rezepten und Einkaufslisten sowie Bearbeitung von Supportanfragen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
• Verwaltung von Abonnements und Kaufberechtigungen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO sowie, soweit erforderlich, gesetzliche Nachweis- und Aufbewahrungspflichten nach Art. 6 Abs. 1 lit. c DSGVO.
• Schutz vor Missbrauch, Betriebssicherheit, Fehleranalyse und Durchsetzung unserer Bedingungen auf Grundlage unseres berechtigten Interesses an einem sicheren und zuverlässigen Dienst nach Art. 6 Abs. 1 lit. f DSGVO.
• Optionale Produktanalyse und Kampagnenzuordnung nur nach deiner Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Beide Einwilligungen sind getrennt, standardmäßig ausgeschaltet und widerrufbar.
• Push-Nachrichten nur nach freiwilliger Aktivierung und Betriebssystem-Freigabe gemäß Art. 6 Abs. 1 lit. a DSGVO.

4. Gesundheitsdaten und ausdrückliche Einwilligung

Angaben zu Allergien, Unverträglichkeiten, abgeleitete Nährwertziele oder bestimmte Gesundheitsziele können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO darstellen oder solche Daten erkennen lassen. Wir verarbeiten sie nur, wenn du sie freiwillig eingibst und ausdrücklich in ihre Verarbeitung zur sicheren Personalisierung einwilligst (Art. 9 Abs. 2 lit. a DSGVO). Alter, Größe, Gewicht und Aktivitätsniveau werden ausschließlich auf deinem Gerät zur Berechnung der Ziele verwendet und nie an unsere Server oder den KI-Anbieter gesendet. Die Einwilligung ist nicht Voraussetzung für die allgemeine Nutzung und kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Danach verwenden wir diese Angaben nicht mehr für neue Personalisierungen; du kannst sie löschen. Bereits erfolgte Verarbeitungen bleiben rechtmäßig.

VegPlan ist keine medizinische Anwendung und ersetzt keine ärztliche oder ernährungstherapeutische Beratung. Trotz technischer Filter müssen Zutatenlisten, Verpackungs- und Spurenhinweise eigenständig geprüft werden.

5. KI-gestützte Funktionen

Für Rezept- und Planvorschläge, kurze Antworten des Plan-Assistenten, Bildgenerierung und Qualitätsprüfungen verwenden wir die API von OpenAI Ireland Ltd. Dabei werden nur die für die jeweilige Funktion benötigten Angaben übermittelt. Direkte Kontaktdaten, Zahlungsdaten, exakte Standortdaten und rohe Größen- oder Gewichtswerte gehören nicht in KI-Anfragen. Assistentenanfragen können bis zu 30 Tage gespeichert werden.

Nach den für die API geltenden Einstellungen werden API-Ein- und -Ausgaben nicht zum Training der OpenAI-Modelle verwendet, sofern wir dies nicht ausdrücklich aktivieren. Sie können standardmäßig bis zu 30 Tage zur Missbrauchserkennung vorgehalten werden. Weitere Angaben findest du bei OpenAI Enterprise Privacy. KI-Ergebnisse können fehlerhaft sein. Sie entfalten keine rechtliche oder vergleichbar erhebliche Wirkung und werden nicht für Entscheidungen nach Art. 22 DSGVO eingesetzt.

6. Fotos und Community-Inhalte

Fotos werden nur verarbeitet, wenn du sie auswählst oder aufnimmst. Private Fotos bleiben deinem pseudonymen Profil zugeordnet und werden in einem nicht öffentlichen Speicherbereich abgelegt. Eine Veröffentlichung in der Community erfolgt ausschließlich nach einer gesonderten, aktiven Einreichung. Vor einer Veröffentlichung können wir Inhalte automatisiert und manuell auf Sicherheit, Rechte Dritter und Community-Regeln prüfen. Nicht benötigte Metadaten sollen vor dem Upload entfernt werden.

7. Abonnements und Käufe

Käufe werden durch Apple als eigenständig Verantwortlichen abgewickelt. Zur Prüfung deines Zugangs verwenden wir RevenueCat, Inc. RevenueCat erhält eine pseudonyme VegPlan-Kundenkennung sowie Produkt-, Kauf- und Berechtigungsinformationen. Die Löschung deines VegPlan-Profils beendet kein laufendes App-Store-Abonnement. Dieses musst du zusätzlich in deinem Apple-Account kündigen.

8. Optionale Analyse und Attribution

Produktanalyse und Kampagnenzuordnung starten erst nach der jeweils gesonderten freiwilligen Einwilligung. Vor der Einwilligung werden keine Analyse-Funnel-Ereignisse gesendet. Freitext, Fotos, Allergien, Körperdaten, abgeleitete Nährwertziele und genaue Standortdaten werden hierfür nicht übermittelt. Eine optionale Kampagnenzuordnung über AppsFlyer Ltd. wird erst nach einer separaten Einwilligung aktiviert. Du kannst beide Einwilligungen unabhängig voneinander in der App widerrufen.

Für TikTok-App-Kampagnen kann AppsFlyer nach dieser Einwilligung Installationen und die freigegebenen groben Funnel-Ereignisse an TikTok Technology Limited übermitteln. Erlaubst du zusätzlich das iOS-App-Tracking, kann die Kampagnenzuordnung pseudonyme Nutzer- und Gerätekennungen verwenden. Lehnst du die iOS-Abfrage ab, verwendet VegPlan keine Ersatzkennung und kein Fingerprinting; AppsFlyer läuft nur anonymisiert und Apples datenschutzschonende SKAdNetwork-/AdAttributionKit-Messung bleibt möglich. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit ein Zugriff auf dein Endgerät erfolgt, § 25 Abs. 1 TDDDG.

Auf der Website startet AnalyticsCLI erst, wenn du im Einwilligungsdialog ausdrücklich zustimmst. Dann messen wir pseudonyme Seitenaufrufe, sichtbare Inhaltsbereiche, grobe Scrolltiefe und Verweildauer, FAQ-Öffnungen sowie Klicks auf interne, externe und App-Store-Links. Dabei können Sprache, Gerätetyp, verweisende Domain und von dir aufgerufene UTM-Kampagnenparameter übermittelt werden. Formulareingaben, Freitext, Werbeprofile und Fingerprinting sind ausgeschlossen. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit ein Zugriff auf dein Endgerät erfolgt, § 25 Abs. 1 TDDDG.

9. Push-Nachrichten

Wenn du Push-Nachrichten aktivierst, verarbeiten wir einen Geräte-Token und knappe Benachrichtigungsinhalte, etwa wenn eine angeforderte Planänderung fertig ist. Die Zustellung erfolgt über den Expo Push Service und Apple Push Notification Service. Die Berechtigung kann in den Systemeinstellungen entzogen werden. VegPlan funktioniert auch ohne Push; offene Ergebnisse bleiben in der App abrufbar.

10. Website, Hosting und Sicherheit

Die Website setzt keine Analyse- oder Werbe-Cookies ein. Lokal speichern wir deine Einwilligungsentscheidung, damit wir nicht bei jedem Aufruf erneut fragen. Erst nach Zustimmung darf AnalyticsCLI zusätzlich eine pseudonyme Geräte- und Sitzungskennung im lokalen Speicher ablegen. Du kannst dies über „Analytics-Einstellungen“ im Seitenfuß jederzeit für die Zukunft widerrufen; dabei werden diese lokalen Analysekennungen entfernt. Global Privacy Control und die Do-Not-Track-Einstellung werden als Ablehnung behandelt. Unabhängig davon werden beim Aufruf sowie bei API-Zugriffen technisch notwendige Daten wie IP-Adresse, Zeitpunkt, angeforderte Ressource, Statuscode und User-Agent kurzfristig verarbeitet. Dies dient Auslieferung, Angriffserkennung und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare, Inc. unterstützt uns als Proxy-, Sicherheits- und Objektspeicheranbieter. Nutzungsdaten werden auf von uns verwalteter Infrastruktur verarbeitet; Objektdateien liegen in einem für die EU eingeschränkten Cloudflare-R2-Speicher.

11. Empfänger und Auftragsverarbeiter

• Hosting-, Datenbank-, Speicher-, Sicherheits- und Fehlerdiagnoseanbieter,
• OpenAI Ireland Ltd. für aktiv genutzte KI-Funktionen,
• RevenueCat, Inc. und Apple für Käufe und Berechtigungen,
• AnalyticsCLI nur bei aktivierter Website- oder App-Analyse,
• AppsFlyer Ltd. nur bei aktivierter Attribution,
• TikTok Technology Limited für Kampagnenmessung nur bei aktivierter Attribution,
• 650 Industries, Inc. (Expo) und Apple bei aktivierten Push-Nachrichten,
• Behörden oder Berater, wenn dies gesetzlich erforderlich ist.

Mit Auftragsverarbeitern schließen wir, soweit erforderlich, Vereinbarungen nach Art. 28 DSGVO. Personenbezogene Daten werden nicht verkauft. Eine Übermittlung zur Kampagnenmessung oder Werbeoptimierung findet nur nach der beschriebenen Einwilligung statt.

12. Übermittlungen in Drittländer

Einige Anbieter oder deren Unterauftragsverarbeiter können Daten außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Wir stützen solche Übermittlungen je nach Anbieter auf einen Angemessenheitsbeschluss, einschließlich des EU-US Data Privacy Framework bei gültiger Zertifizierung, oder auf EU-Standardvertragsklauseln und ergänzende Schutzmaßnahmen. Eine Kopie der wesentlichen Garantien kannst du über unsere Kontaktadresse anfordern.

13. Speicherdauer

• Profil, aktive Pläne und private Rezepte: bis zur Löschung des Profils,
• private Fotos: bis zur Einzel- oder Profillöschung,
• inaktive anonyme Sitzungen: grundsätzlich 30 Tage,
• Assistentenanfragen: bis zu 30 Tage,
• technische Rohprotokolle: grundsätzlich 14 Tage,
• Fehlerdiagnose-Ereignisse: grundsätzlich 30 Tage,
• einwilligungsbasierte Ereignisanalysen: grundsätzlich 90 Tage; aggregierte anonyme Kennzahlen bis zu 13 Monate,
• Kauf-, Abrechnungs- und Nachweisdaten: nach gesetzlichen Pflichten oder grundsätzlich bis zu 24 Monate,
• KI-Kosten- und Missbrauchsmetadaten ohne Prompt- oder Transkriptinhalt: grundsätzlich bis zu 24 Monate; bei Löschung wird die Nutzerzuordnung entfernt,
• verschlüsselte Sicherungen: 30 tägliche und 12 monatliche Generationen; gelöschte Daten werden bei einer Wiederherstellung nicht erneut produktiv aktiviert.

Gesetzliche Aufbewahrungspflichten, laufende Rechtsverteidigung oder ein Sicherheitsvorfall können im Einzelfall eine längere, zweckgebundene Speicherung erfordern.

14. Deine Rechte

Du hast nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einwilligungen kannst du jederzeit für die Zukunft widerrufen. In der App stehen ein Datenexport und die endgültige Profillöschung bereit. Alternativ erreichst du uns unter [email protected]. Bitte sende uns dabei keine Gesundheitsdaten oder Ausweiskopie, sofern wir dies nicht nach einer Risikoprüfung ausdrücklich benötigen.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zuständig.

15. Pflicht zur Bereitstellung und Minderjährige

Technisch notwendige und vertragsbezogene Daten werden benötigt, damit wir die gewählten Funktionen anbieten können. Alle als optional bezeichneten Angaben und Einwilligungen sind freiwillig. VegPlan richtet sich nicht gezielt an Kinder unter 16 Jahren. Personen unter 16 Jahren dürfen einwilligungsabhängige Funktionen nur mit Zustimmung ihrer Erziehungsberechtigten nutzen.

16. Änderungen

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Anbieter oder die Rechtslage wesentlich ändern. Über wesentliche Änderungen informieren wir in der App oder auf dieser Seite. Der oben genannte Stand bezeichnet die aktuell veröffentlichte Fassung.