Datenschutzerklärung — Food Moments

Stand: 19. September 2026. Diese Erklärung gibt es auf Englisch, Deutsch, Niederländisch, Spanisch, Französisch und Portugiesisch; maßgeblich ist die englische Fassung.

Food Moments schätzt den Nährwert Ihrer Mahlzeiten aus Fotos und Ihren eigenen Worten. Die App ist so gebaut, dass Ihre Daten Ihre bleiben: keine Werbung, kein Tracking, kein Name — Ihr Konto ist nichts weiter als Ihre E-Mail-Adresse. Alles, was Sie erfassen, wird in diesem Konto gespeichert, auf unseren eigenen Servern in der Europäischen Union, mit den letzten Tagen auf Ihrem iPhone; genau das lässt ein neues iPhone alles zurückbringen — und dazu gehören zwei Schaltflächen, die die Daten auch praktisch die Ihren bleiben lassen: eine lädt alles herunter, eine löscht alles. Was wohin gesendet wird — und der eine Datenfluss, der die EU verlassen kann — wird unten genau beschrieben; die KI-Analyse und das Diktat beginnen jeweils erst, nachdem Sie in der App zugestimmt haben, und Ihre Mahlzeiten selbst sehen wir uns nur an, wenn Sie uns dazu einladen (§11).

1. Verantwortlicher

Verantwortlicher ist Smart Backoffice Solutions B.V., Saal van Zwanenbergweg 11, 5026 RM Tilburg, Niederlande, eingetragen bei der niederländischen Handelskammer (KvK) unter der Nummer 90141482. Kontakt: info@smart-backoffice.nl.

2. Was die App verarbeitet — und wo es bleibt

In Ihrem Konto gespeichert, auf unseren Servern in der Europäischen Union:

• Ihre Mahlzeitenfotos, Notizen, Korrekturen und die Änderungshistorie
• Die Nährwertschätzungen und Ihre Zeitleiste
• Ihr Ernährungsprofil (Geburtsjahr, Geschlecht, Gewicht, Größe, Aktivität, Kalorienziel)
• Ihre Tagesziele, Tag für Tag — bei Tagen auf Apple-Health-Basis samt dem Wert der verbrauchten Kalorien, aus dem das Ziel berechnet wurde (siehe unten)
• Ihre Hintergrundfotos für die Zeitleiste, falls Sie eigene gewählt haben
• Welche Ihrer Mahlzeitenfotos und gescannten Produkte Sie als Favoriten markiert haben, damit sie vorne stehen, wenn Sie sie erneut verwenden
• Ihre App-Einstellungen: das Erscheinungsbild, wann Ihr Tag beginnt, ob Ihre Aktivitätsdaten aus Apple Health kommen und wie Sie gern essen — die Stufen für Eiweiß, Ballaststoffe, Obst und Gemüse, freien Zucker, Fett und Salz, die Sie für Ihre Tagesziele gewählt haben
• Größen, die Sie der App selbst genannt haben — wie breit Ihr Essteller ist, was eine Scheibe Ihres Brotes wiegt — damit die App sie nicht erneut schätzen muss
• Die Größenmessung jedes Fotos, das Ihr iPhone vermessen konnte (siehe unten), zusammen mit technischen Angaben dazu, wie sie entstanden ist — wie stabil das Telefon seine Position verfolgt hat, welche Fläche es gefunden hat und wie sicher es sich dabei war
• Ein Eintrag zu jeder Analyse- und Diktatanfrage für die faire Nutzung: wann sie gestellt wurde, welcher Art sie war, welches KI-Modell geantwortet hat, wie lange es gedauert hat, wie viele Daten und wie viel Rechenleistung sie beansprucht hat, zu welcher Mahlzeit sie gehörte und ob sie erfolgreich war — nie ihr Inhalt (§3)
• Ob Sie „Food Moments verbessern helfen" eingeschaltet haben, und seit wann (§11)

Dieser Speicher läuft auf Microsoft Azure in Westeuropa (§4). Ihr iPhone hält ungefähr die letzten zwei Wochen bereit und lädt ältere Tage nach, wenn Sie zu ihnen zurückscrollen; die Anmeldung auf einem neuen iPhone stellt alles wieder her. Das Löschen der App löscht Ihre Daten deshalb nicht mehr — das Löschen Ihres Kontos schon, vollständig und direkt in der App (§6, §8).

Ihr Konto ist bewusst minimal: Ihre E-Mail-Adresse, sonst nichts — kein Name, kein Passwort. Sie melden sich mit einem einmaligen sechsstelligen Code an, den wir Ihnen per E-Mail schicken; jedes iPhone, auf dem Sie sich anmelden, erhält eine eigene Sitzung, die mit dem Abmelden endet. Rechtsgrundlage für das Konto und die Speicherung Ihrer Mahlzeitendaten darin: die Erfüllung unseres Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO) — dieser Speicher ist der Dienst — und, weil Mahlzeiten etwas über Ihre Gesundheit aussagen können, Ihre ausdrückliche Einwilligung, die Sie beim Anlegen des Kontos erteilen (Art. 9 Abs. 2 lit. a DSGVO). Mit dem Löschen des Kontos widerrufen Sie sie.

Apple Health, falls Sie „Aktivitätsdaten aus Apple Health übernehmen" aktivieren: Die App liest Ihre Ruhe- und Aktivenergie auf diesem iPhone, um das Tagesenergieziel zu setzen. Die Messwerte bleiben in Apple Health — sie werden nie an das KI-Modell gesendet, nie für Werbung verwendet, und die App schreibt nie in Health. Was Ihr Konto speichert, ist das Ergebnis: das Energieziel jedes Tages samt dem Verbrauchswert, aus dem es berechnet wurde — abgelegt bei Ihren Tageszielen, damit ein vergangener Tag auch auf einem neuen iPhone sein echtes Ziel behält.

Außerdem betreiben wir ein Gateway, durch das jede Analyse- und Diktatanfrage läuft und das in §3 beschrieben ist. Es behält nichts von Ihren Mahlzeiteninhalten — Fotos, Notizen und Aufnahmen laufen hindurch und sind weg, sobald die Antwort zurückkommt. Was es behält, sind eine technische Kennung Ihres Geräts und ein Eintrag zu jeder Anfrage für die faire Nutzung, beide in §3 erklärt.

Für eine Mahlzeitenanalyse gesendet (nur mit Ihrer Einwilligung, siehe §3):

• Die Fotos der analysierten Mahlzeit
• Ihre Notiz und spätere Korrekturen zu dieser Mahlzeit
• In den Fotos erkannter Text von Nährwertetiketten und Barcode-Produktinformationen
• Ihre Mahlzeiten der letzten zwei Wochen in Kurzform — höchstens 30, jede mit Uhrzeit, Titel und Gerichten samt Portionen und Kalorien —, damit Portionen über die Tage konsistent bleiben; außerdem Datum, Uhrzeit und Sprache der analysierten Mahlzeit
• Einmal für jede Ihrer Mahlzeiten der letzten zwei Wochen, die vor dem 19. September 2026 analysiert wurde: ihr Titel und ihre Gerichte samt Portionen, Zucker und Gewicht in Kurzform, damit die App freien Zucker sowie Obst und Gemüse ergänzen kann, ohne die Mahlzeit neu zu analysieren
• Die Größen, die Sie der App genannt haben (siehe oben), damit Portionen an Ihrem eigenen Geschirr gemessen werden und nicht an durchschnittlichem
• Eine Größenmessung jedes Fotos, sofern Ihr iPhone eine erstellen konnte: wie viele Zentimeter das Bild auf der Fläche abdeckt, auf der das Essen steht, aus welcher Entfernung und in welchem Winkel die Kamera gehalten wurde, und wie groß die Formen auf dieser Fläche sind. Ihr iPhone ermittelt das selbst, während Sie das Bild ausrichten, aus den kleinen Bewegungen Ihrer Hand und — bei Modellen, die einen haben — dem Tiefensensor. Es werden keine zusätzlichen Bilder aufgenommen, und nichts über den Raum wird erfasst oder gespeichert. Wo die Messung verlässlich ist, sendet die App außerdem eine Kopie dieses Fotos, in der ein Zentimeterraster auf die Fläche gezeichnet ist, damit das Modell Größen daran ablesen kann. Fotos aus Ihrer Mediathek tragen keine Messung; eine Mahlzeit, die jemand mit Ihnen teilt, behält die Messung, die das iPhone dieser Person gemacht hat

Beim Diktieren einer Notiz gesendet (nur mit Ihrer Einwilligung, siehe §3):

• Die Audioaufnahme Ihres Diktats, zur Umwandlung in Text, zusammen mit den letzten Sätzen der bisher geschriebenen Notiz — getippt oder diktiert —, damit Wörter und Namen einheitlich bleiben. Anders als alles andere in dieser Liste wird sie auf einer weltweiten Azure-Bereitstellung verarbeitet und kann die Europäische Union daher verlassen — siehe §3 und §5

Nur auf Ihrem iPhone aufbewahrt, solange etwas unfertig ist:

• Eine begonnene, noch nicht analysierte Mahlzeit — ihre Fotos, gescannten Barcodes und die getippte Notiz —, damit sich der Aufnahmebildschirm wieder dort öffnet, wo Sie aufgehört haben, falls die App geschlossen wird, abstürzt oder von iOS beendet wird; ebenso eine begonnene, noch nicht übernommene Korrektur an einer Mahlzeit. Sie bleibt, bis Sie „Analysieren" oder „Übernehmen" tippen — dann wird sie zu Ihrer Mahlzeit oder Korrektur und wie oben beschrieben in Ihrem Konto gespeichert — oder „Abbrechen", dann wird sie gelöscht. Sie wird außerdem gelöscht, wenn Sie sich abmelden oder Ihr Konto löschen, und nichts davon wird zur Analyse gesendet, bevor Sie „Analysieren" oder „Übernehmen" tippen
• Die Aufnahme eines Diktats, sobald sie abgeschlossen ist — wenn Sie die Mikrofontaste loslassen, bei einer langen Notiz etwa jede Minute —, bis ihr Text angekommen ist, normalerweise nach ein, zwei Sekunden; danach wird sie gelöscht. Kann sie noch nicht gesendet werden, weil kein Netz besteht oder der Dienst nicht erreichbar ist, wartet sie auf Ihrem iPhone und wird automatisch gesendet, sobald die Verbindung zurück ist oder Sie die App wieder öffnen; Ihre Notiz ergänzt sich dann von selbst. Eine wartende Aufnahme wird außerdem gelöscht, wenn Sie die zugehörige Mahlzeit oder Korrektur abbrechen, sich abmelden oder Ihr Konto löschen, und sie wird nie ohne Ihre Einwilligung zum Diktat gesendet

Beides liegt im privaten Speicher der App auf Ihrem iPhone, geschützt durch die Verschlüsselung von iOS und von iPhone-Backups ausgenommen; nichts davon wird je in Ihr Konto hochgeladen.

Gesendet, wenn Sie einen Barcode scannen oder er auf einem Foto erkannt wird:

• Die Barcode-Nummer, zum Nachschlagen in der öffentlichen Open-Food-Facts-Datenbank (§4). Name, Packungsgröße, Nährwerte und Foto des Produkts kommen zurück auf Ihr iPhone und werden dort gespeichert; das Foto wird nie zu uns hochgeladen, nie zur Analyse gesendet und reist nie in einer geteilten Mahlzeit mit — Ihr iPhone holt sich seine eigene Kopie von Open Food Facts. Rechtsgrundlage: unser berechtigtes Interesse daran, die Schätzung auf die aufgedruckten Werte des Produkts selbst zu stützen (Art. 6 Abs. 1 lit. f DSGVO); das Nachschlagen geschieht erst, nachdem Sie der Mahlzeitenanalyse zugestimmt haben

Automatisch gesendet, wenn die App abstürzt, einfriert oder zu viel Prozessorleistung oder Speicherplatz beansprucht:

• Ein technischer Diagnosebericht aus Apples eigener On-Device-Absturzerkennung (MetricKit) — welche Art von Fehler aufgetreten ist, welcher Teil der App betroffen war, Ihr iPhone-Modell und Ihre iOS-Version sowie die App-Version, damit wir das Problem finden und beheben können. Er enthält keine Ihrer Fotos, Notizen oder eingegebenen Texte und wird bei dieser iPhone-Installation gespeichert statt bei Ihrem Konto. Rechtsgrundlage: unser berechtigtes Interesse an einer funktionierenden App (Art. 6 Abs. 1 lit. f DSGVO).

Angesehen, damit die App besser funktioniert — technische Angaben, nie, was Sie gegessen haben:

• Um herauszufinden, wo die App versagt und ob eine Änderung das behoben hat, sehen wir uns technische Angaben dazu an, wie sie gearbeitet hat, die ohnehin bei Ihren Mahlzeiten oder auf unserem Gateway liegen: für jedes Foto, ob und wie gut Ihr iPhone es vermessen konnte (die Qualität der Messung, der Grund, warum es nicht messen konnte, Entfernung und Winkel, wie stabil das Telefon seine Position verfolgt hat und ob die gefundenen Flächen miteinander übereinstimmten); woher ein Foto stammt — aus der Kamera, aus Ihrer Mediathek oder aus einer früheren Mahlzeit; für jede Analyse, welches KI-Modell geantwortet hat, wie lange es gedauert hat, wie viele Runden nötig waren, wie viele Daten sie umfasste und ob sie erfolgreich war; und die Absturzberichte oben. Wir sehen sie uns ohne Ihre Fotos, Notizen, Korrekturen, Mahlzeitennamen oder Nährwerte an und berichten darüber nur in Gesamtzahlen, die nicht auf Sie zurückführen („die Kamera konnte 44 % der Fotos vermessen"). Dafür wird nichts Neues erhoben: Diese Angaben gibt es ohnehin, für die in diesem Abschnitt beschriebenen Zwecke. Rechtsgrundlage: unser berechtigtes Interesse an einer App, die funktioniert und besser wird (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit widersprechen, indem Sie an die Adresse in §1 schreiben; dann lassen wir Ihr Konto außen vor.

Von Ihnen geteilt, direkt von Ihrem iPhone an ein anderes (nichts läuft über uns):

• Wenn Sie eine Mahlzeit mit jemandem teilen, der sie mit Ihnen gegessen hat, geht die Mahlzeit — ihre Fotos und deren Größenmessungen, Ihre Notiz, die Schätzung und deren Verlauf — direkt von Ihrem iPhone an die von Ihnen gewählte Empfängerin oder den von Ihnen gewählten Empfänger, per AirDrop, Nachrichten oder welcher App Sie auch wählen. Sie läuft nicht über unsere Server: Wir sehen sie nie und behalten keine Kopie davon. Eine Mahlzeit, die jemand mit Ihnen teilt, erscheint in Ihrer Timeline und wird danach in Ihrem Konto gespeichert wie eine selbst fotografierte Mahlzeit.

3. Mahlzeitenanalyse durch KI — Ihre Einwilligung

Für eine Schätzung sendet die App die oben genannten Daten an ein KI-Modell (OpenAI GPT) auf Microsoft-Azure-Servern in der Europäischen Union, auf unserer eigenen Bereitstellung. Was die App sendet, wird zur Berechnung Ihrer Nährwertschätzung verwendet — und nur, wenn Sie „Food Moments verbessern helfen" eingeschaltet haben, zur Verbesserung der App, wie §11 es beschreibt. Es wird nicht zum Training von KI-Modellen verwendet. Ihr Konto trägt keinen Namen, und das KI-Modell sieht nichts von ihm: Was das Modell erreicht, ist die Mahlzeit — nicht, wer Sie sind.

Jede Anfrage läuft zuerst über unser eigenes Gateway. Das ist ein kleiner Server, den wir auf Microsoft Azure in der Europäischen Union betreiben. Es existiert, damit die Zugangsdaten für den KI-Dienst nicht in der App stecken, wo sie jeder aus der heruntergeladenen Datei auslesen und auf unsere Rechnung Kosten verursachen könnte. Das Gateway prüft, ob eine Anfrage wirklich von einer unveränderten Kopie von Food Moments auf einem echten Apple-Gerät kommt — mit Apples App Attest — und ob sie zu einem angemeldeten Konto gehört, damit die Fair-Use-Grenzen pro Konto statt pro Telefon gezählt werden, und reicht sie dann weiter. Bei einer Analyse fügt es Ihre Fotos aus dem Speicher Ihres Kontos in die Anfrage ein; ansonsten liest es nicht, was Sie senden, und behält keine Kopie davon. Für die faire Nutzung und die Kostenkontrolle zeichnet es pro Konto zu jeder Anfrage eine Zeile auf: wann, welcher Art, welches Modell, wie lange sie gedauert hat, wie viele Daten und wie viel Rechenleistung sie beansprucht hat, welche Mahlzeit sie betraf und ob sie erfolgreich war. Ihre Fotos, Notizen und Aufnahmen tauchen in diesen Aufzeichnungen und in seinen Protokollen nie auf, und die Aufzeichnungen werden mit Ihrem Konto gelöscht.

Für diese Prüfung erzeugt Ihr iPhone einen kryptografischen Schlüssel, der das Gerät nie verlässt, und das Gateway speichert die Kennung dieses Schlüssels zusammen mit einem Zähler, der verhindert, dass eine abgefangene Anfrage wiederholt eingespielt wird. Diese Kennung ist ein zufälliger Wert, den diese Installation der App erzeugt: Sie enthält keinen Namen, keine E-Mail-Adresse und keine Geräteseriennummer. Solange Sie angemeldet sind, verknüpfen unsere Aufzeichnungen sie mit der Sitzung Ihres Kontos; deshalb behandeln wir sie als personenbezogene Daten. Sie entsteht, wenn die App zum ersten Mal mit unserem Server spricht — bei der Anmeldung —, und mit dem Löschen der App wird sie nutzlos. Rechtsgrundlage für diesen einen technischen Datensatz: unser berechtigtes Interesse am Schutz des Dienstes vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Die App bittet vor der ersten Analyse um Ihre ausdrückliche Einwilligung (Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und Art. 9 Abs. 2 lit. a DSGVO, weil Mahlzeiten etwas über Ihre Gesundheit aussagen können). Sie können die Einwilligung jederzeit widerrufen unter Einstellungen → Privatsphäre; die Analyse bleibt dann aus, bis Sie erneut zustimmen — der Rest der App funktioniert weiter.

Für das Diktat gilt eine eigene Einwilligung — mit einem Unterschied, den Sie kennen sollten. Eine gesprochene Notiz wird von einem Sprachmodell in Text umgewandelt, ebenfalls auf unserer eigenen Microsoft-Azure-Bereitstellung — diese Bereitstellung ist jedoch eine Global-Standard- Bereitstellung, weil das verwendete Sprachmodell nicht als EU-gebundene Bereitstellung angeboten wird. Microsoft leitet jede Anfrage an dasjenige Rechenzentrum weiter, das gerade Kapazität hat; das kann außerhalb der Europäischen Union liegen, auch in den Vereinigten Staaten. Das Diktat ist damit der einzige Teil von Food Moments, dessen Daten die EU verlassen können; §5 beschreibt die geltenden Garantien. Die App fragt vor Ihrem ersten Diktat (ebenfalls Art. 6 Abs. 1 lit. a DSGVO), und Sie können diese Einwilligung an derselben Stelle widerrufen — das Diktat bleibt dann aus, und eine Notiz lässt sich immer auch tippen; eine Notiz, die Sie nur tippen, ohne in sie hineinzudiktieren, bleibt innerhalb der Europäischen Union — in Ihrem Konto, wie alles andere.

Mahlzeitenfotos und Notizen können beiläufig etwas über Sie verraten — eine Diät, eine Allergie, eine Fastenpraxis. Wir minimieren das, indem nur die gerade analysierte Mahlzeit gesendet wird, die Ergebnisse in Ihrem eigenen Konto liegen, wo nur Sie sie erreichen, und nichts davon auf unserem Gateway gespeichert wird.

4. Dienstleister

• Microsoft Ireland Operations Ltd. (Azure) stellt die Infrastruktur bereit und verarbeitet Analyseanfragen und Diktataufnahmen als unser Auftragsverarbeiter nach Microsofts Data Protection Addendum. Das umfasst die KI-Bereitstellungen, das in §3 beschriebene Gateway — es läuft auf Azure Functions in Westeuropa, mit den Gerätekennungen und den Absturzdiagnosen aus §2 in Azure Table Storage in derselben Region — und den Speicher hinter Ihrem Konto (§2): Ihre Mahlzeiten, Fotos und Ihr Profil liegen in Azure-Speicher in Westeuropa, innerhalb der Europäischen Union. Die E-Mails mit einem Anmeldecode oder einem Export-Link werden über Azure Communication Services versendet, konfiguriert mit Datenstandort in der Europäischen Union, von noreply@smart-backoffice.nl. Die beiden KI-Bereitstellungen unterscheiden sich darin, wo sie laufen. Die Mahlzeitenanalyse läuft auf einer Azure-Bereitstellung in der EU Data Zone; diese Fotos, Notizen und Korrekturen werden in der Europäischen Union verarbeitet. Das Diktat läuft auf einer Global-Standard-Bereitstellung, weil das Sprachmodell nicht EU-gebunden angeboten wird: Microsoft leitet jede Aufnahme an freie Kapazität in einer beliebigen Region weltweit weiter, die außerhalb der EU liegen kann (§5). Microsofts Missbrauchskontrolle prüft Anfragen automatisch im Moment der Verarbeitung, ohne sie zu speichern; nur als potenziell missbräuchlich markierte Anfragen können nach Microsofts veröffentlichtem Standardverfahren vorübergehend zur Prüfung gespeichert werden — bei EU-Bereitstellungen in der EU gespeichert und geprüft — und werden danach gelöscht. Microsoft verwendet Ihre Daten nicht zum Training von Modellen.
• Open Food Facts (eine französische Non-Profit-Organisation) erhält nur die Ziffern eines gescannten Barcodes und liefert öffentliche Produktinformationen zurück; Ihr iPhone holt anschließend das Produktfoto dort ab. Wie bei jeder Internetanfrage sehen deren Server technisch bedingt Ihre IP-Adresse. Die Produktdaten stehen unter der Open Database License, die Fotos unter Creative Commons Attribution-ShareAlike 3.0; die App nennt die Beitragenden dort, wo sie diese anzeigt.
• Apple vertreibt die App und verarbeitet, sollten Sie jemals ein Abonnement kaufen, diesen Kauf als eigenständiger Verantwortlicher nach eigenen Bedingungen. Das Lesen von Etiketten und die Barcode-Erkennung laufen vollständig auf Ihrem iPhone mit Apples On-Device-Frameworks — dafür verlässt keine Information das Gerät.

Mit niemandem sonst teilen wir Daten. Wir verkaufen keine Daten. Die App enthält keine Analyse- oder Werbe-SDKs. Diese Erklärung gilt für die App; die Website smart-backoffice.nl hat ihre eigene Datenschutzerklärung und verwendet Google Analytics erst, nachdem Sie ihren Cookie-Banner akzeptiert haben.

5. Internationale Übermittlungen

Die Mahlzeitenanalyse ist auf Azures EU Data Zone festgelegt und wird in der Europäischen Union verarbeitet. Auch das Gateway, durch das sie läuft (§3), der Speicher hinter Ihrem Konto (§2) und der Dienst, der Anmeldecode- und Export-E-Mails versendet (§4), stehen in der Europäischen Union — nichts davon fügt eine Übermittlung hinzu.

Das Diktat nicht. Seine Sprach-Bereitstellung ist eine globale, sodass die Audioaufnahme eines Diktats — und die letzten Sätze der bisher geschriebenen Notiz, getippt oder diktiert, die mitgesendet werden, damit Wörter und Namen einheitlich bleiben — außerhalb des EWR verarbeitet werden kann, auch in den Vereinigten Staaten. Für diese Übermittlung gelten die EU-Standardvertragsklauseln in Microsofts Data Protection Addendum sowie Microsofts ergänzende Maßnahmen: Verschlüsselung bei der Übertragung und im Ruhezustand, keine Nutzung der Daten zum Modelltraining und keine Speicherung über die in §4 beschriebene vorübergehende Missbrauchskontrolle hinaus. Microsoft nimmt zudem am EU-US Data Privacy Framework teil, für das die Europäische Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss erlassen hat. Der Aufnahme liegt keine Sie identifizierende Angabe bei, und Ihre Mahlzeiten, Fotos und Ihr Verlauf sind nie Teil einer Diktatanfrage.

Wenn Sie möchten, dass nichts von Ihnen die EU verlässt, tippen Sie Ihre Notizen und diktieren Sie nicht: Die App ist ohne Diktat vollständig nutzbar, und die Diktat-Einwilligung lässt sich jederzeit unter Einstellungen → Privatsphäre widerrufen.

Soweit Microsoft als globales Unternehmen in Ausnahmefällen Support- oder Telemetriedaten außerhalb des EWR verarbeiten könnte, gelten Microsofts EU-Data-Boundary-Zusagen und dieselben Standardvertragsklauseln als Garantien.

6. Speicherdauer

Die Daten Ihres Kontos werden aufbewahrt, bis Sie sie löschen — genau dafür ist ein Konto da. Eine einzelne Mahlzeit löschen Sie durch Wegwischen, auf unseren Servern ebenso wie auf dem Telefon; Einstellungen → Konto → Konto löschen entfernt alles, was wir haben, auf einmal — Mahlzeiten, Fotos, Profil, Sitzungen und eine eventuell noch bereitliegende Exportdatei. Das Löschen der App löscht nichts mehr: Melden Sie sich erneut an, und alles ist wieder da; löschen Sie das Konto, wenn alles verschwinden soll.

Alles rund um das Konto ist kurzlebig. Ein Anmeldecode funktioniert einmal und verfällt nach etwa zehn Minuten. Das Zip aus Alle meine Daten herunterladen wird einige Tage nach seiner Erstellung von unserem Server gelöscht (der Download-Link erlischt nach 24 Stunden) und bleibt danach wie jede gelöschte Datei noch bis zu 35 Tage in unserer Sicherung wiederherstellbar. Was Sie für eine Analyse oder ein Diktat senden, wird auf unserem Gateway nicht gespeichert — es wird weitergereicht und ist dann weg —, und Microsofts vorübergehende Aufbewahrung ist in §4 beschrieben.

Auf Ihrem iPhone werden eine unfertige Mahlzeit oder Korrektur und eine Diktataufnahme, die noch auf ihren Text wartet, nur so lange aufbewahrt, wie §2 beschreibt: bis Sie sie abschließen oder abbrechen beziehungsweise bis ihr Text angekommen ist — und nie über das Abmelden oder das Löschen Ihres Kontos hinaus.

Die in §3 beschriebene Gerätekennung behalten wir, weil an ihr eine Anfrage geprüft wird; sie wird noch nicht automatisch gelöscht, wenn eine Installation den Dienst nicht mehr nutzt, deshalb löschen wir sie auf Anfrage — schreiben Sie an die Adresse in §1 und erwähnen Sie, dass Ihre Geräteregistrierung entfernt werden soll. Ihre Verknüpfung mit Ihrem Konto endet, wenn Sie sich abmelden oder das Konto löschen. Sie sagt uns nichts darüber, was Sie essen.

Die Fair-Use-Aufzeichnungen aus §3 — die Zeile pro Anfrage und die Zählungen pro Woche und Monat — werden bei Ihrem Konto aufbewahrt und mit ihm gelöscht.

Absturzdiagnosen (§2) werden 90 Tage aufbewahrt und dann automatisch gelöscht — lange genug, um ein Problem zu bemerken und zu beheben, kein dauerhafter Datensatz.

Food Moments verbessern helfen (§11) legt keinen eigenen Speicher an: Ihre Mahlzeiten bleiben in Ihrem Konto. Eine Arbeitskopie, die für einen Vergleich angelegt wird, wird gelöscht, wenn der Vergleich abgeschlossen ist, in jedem Fall aber innerhalb von 30 Tagen, nachdem Sie die Einstellung ausgeschaltet haben.

Wir führen Sicherungskopien. Ihr Konto ist die einzige vollständige Kopie Ihrer Mahlzeiten — auf dem iPhone liegen nur die letzten Tage —, deshalb sichern wir es. Fotos und Dateien lassen sich auf jeden Zeitpunkt der letzten 30 Tage zurücksetzen, und der Rest Ihres Kontos wird jede Nacht in eine datierte Datei geschrieben und ebenfalls 30 Tage aufbewahrt. Eine gelöschte Datei — ein Foto oder eine nächtliche Datei, die aus diesem Zeitfenster gefallen ist — bleibt noch bis zu 35 Tage länger wiederherstellbar, bevor sie endgültig verschwindet. All das liegt mit Ihren übrigen Daten in der Europäischen Union und wird für nichts anderes verwendet. Eine Folge davon, klar gesagt: Das Löschen Ihres Kontos entfernt sofort alles, was wir im laufenden Betrieb halten, aber was in diesen Sicherungen liegt, verschwindet erst, wenn es aus diesen Zeitfenstern fällt — Fotos innerhalb von etwa fünf Wochen, die nächtlichen Kopien Ihres Kontos spätestens nach 66 Tagen — und nicht im selben Augenblick.

7. Sicherheit

Alles Gesendete verlässt Ihr Gerät über verschlüsselte Verbindungen (TLS), und auf dem Gerät sind Ihre Daten durch die iOS-eigene Verschlüsselung und Ihren Gerätecode geschützt. Die Daten Ihres Kontos liegen jetzt auch auf unseren Servern und werden dort geschützt, statt dadurch, dass es sie nicht gibt: Sie sind auf Microsoft Azure in der Europäischen Union gespeichert und im Ruhezustand verschlüsselt; erreichbar sind sie nur über die App selbst, denn jede Anfrage muss — über Apples App Attest (§3) — belegen, dass sie aus einer unveränderten Kopie von Food Moments kommt, und eine gültige Sitzung Ihres Kontos mitführen; Sitzungen gelten pro Gerät und enden mit dem Abmelden; und der Server speichert Sitzungs-Token nur als Hashes, sodass eine gestohlene Kopie unserer Aufzeichnungen niemanden in Ihrem Namen anmelden könnte. Passwörter, die man stehlen könnte, gibt es nicht: Ein Anmeldecode kommt per E-Mail, funktioniert einmal und verfällt nach Minuten.

8. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie das Recht, Ihre Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Die App ist so gebaut, dass Sie sie direkt ausüben, ohne jemandem schreiben zu müssen:

• Auskunft: Die App zeigt Ihnen Ihre Mahlzeiten, Ihr Profil und Ihre Einstellungen, und der Download unten enthält all das, auch was die App nicht anzeigt, etwa die Fotomessungen. Für den Rest — die Fair-Use-Aufzeichnungen aus §3, Absturzberichte, die Gerätekennung — schreiben Sie uns, und wir schicken Ihnen eine Kopie.
• Berichtigung: Korrigieren Sie jede Mahlzeit in der App; ändern Sie Ihr Profil in den Einstellungen.
• Datenübertragbarkeit: Einstellungen → Konto → Alle meine Daten herunterladen lässt den Server alles verpacken — jedes Foto, eine Sammlung von Seiten für jeden Rechner, eine Tabelle, die jedes Tabellenprogramm lesen kann, und eine Datendatei mit allem, was Ihr Konto enthält, einschließlich Korrekturen, Profil, Einstellungen und Tageszielen — und Ihnen einen Download-Link mailen.
• Löschung: Wischen Sie eine Mahlzeit weg, oder löschen Sie alles auf einmal mit Einstellungen → Konto → Konto löschen.
• Widerruf der Einwilligung: Analyse und Diktat unter Einstellungen → Privatsphäre, „Food Moments verbessern helfen" mit seinem eigenen Schalter (§11).
• Widerspruch: gegen unsere Nutzung technischer Angaben (§2), indem Sie uns schreiben; dann lassen wir Ihr Konto außen vor.

Für alles Weitere und bei Fragen: info@smart-backoffice.nl — wir antworten innerhalb eines Monats. Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde; in den Niederlanden ist das die Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), in Deutschland die Datenschutzbehörde Ihres Bundeslandes — Sie können sich an die Behörde Ihres Landes wenden.

9. Kinder

Food Moments richtet sich nicht an Kinder, und wir verarbeiten wissentlich keine Daten von Kindern. Sollten Sie glauben, dass ein Kind ein Konto angelegt hat, schreiben Sie an die Adresse in §1 — wir löschen es.

10. Änderungen

Ändern sich die Datenflüsse der App, wird diese Erklärung vor der Auslieferung der Änderung aktualisiert (Stand oben).

Jede Änderung wird auf der Support-Seite veröffentlicht. Kleine Änderungen — Formulierung, Grammatik, ein Tippfehler, eine Klarstellung, die nichts daran ändert, was mit Ihren Daten geschieht — werden dort und nirgendwo sonst angekündigt.

Eine Änderung mit wesentlichen Auswirkungen auf Ihre Daten wird zusätzlich in der App angekündigt, bevor sie wirksam wird. Und ein wirklich neuer Datenfluss, der verarbeitet, was Sie fotografieren, schreiben oder sprechen — wie Analyse und Diktat es tun —, braucht mehr als eine Ankündigung: Er beginnt erst, wenn Sie ihm zugestimmt haben. Ein neues technisches Signal über die App selbst, wie die Absturzdiagnosen in §2, ändert nichts daran, wie Ihre Mahlzeiten oder Ihr Konto behandelt werden; es wird offengelegt statt zur Zustimmung vorgelegt — genau wie die Gerätekennung in §3 es bereits wird.

11. Food Moments verbessern helfen — nur, wenn Sie es einschalten

Food Moments wird besser, indem wir sehen, wo seine Schätzungen danebenliegen, und am häufigsten liegen sie bei der Menge auf dem Teller daneben. Unter Einstellungen → Food Moments verbessern helfen gibt es einen Schalter, mit dem Sie uns erlauben, Ihre Mahlzeiten genau dafür zu verwenden. Er ist aus, solange Sie ihn nicht einschalten.

Was Sie erlauben, wenn Sie ihn einschalten. Wir — die Menschen bei Smart Backoffice Solutions B.V., die Food Moments machen, und niemand sonst — dürfen uns die Mahlzeiten in Ihrem Konto ansehen: die Fotos, Ihre Notizen und Korrekturen, die Schätzungen und deren Verlauf sowie die Größenmessungen, die zu den Fotos gehören. Wir verwenden sie für einen einzigen Zweck: um herauszufinden, wo die Schätzungen der App danebenliegen und warum, und um zu prüfen, ob eine Änderung an der App sie verbessert. Um eine Änderung zu prüfen, dürfen wir eine Mahlzeit mit den verbesserten Anweisungen erneut durch die Analyse schicken, auf derselben Microsoft-Azure-Bereitstellung in der Europäischen Union, die Ihre Mahlzeiten analysiert (§4); die Antwort wird mit der ursprünglichen verglichen und ändert die Mahlzeit in Ihrer Zeitleiste nie. Mahlzeiten können etwas über Ihre Gesundheit aussagen — eine Diät, eine Allergie, wie viel Sie essen —, deshalb braucht es dafür Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO). Der Schalter ist diese Einwilligung: Seine Beschriftung sagt, wozu Sie zustimmen, das Einschalten ist die Zustimmung, und die App zeigt das Datum, an dem Sie sie erteilt haben.

Was er nie erlaubt. Ihre Mahlzeiten werden nicht zum Training von KI-Modellen verwendet, weder unserer noch anderer. Sie werden an niemanden weitergegeben, nicht verkauft, nicht veröffentlicht und nicht für Werbung verwendet. Was wir lernen, wird als allgemeine Erkenntnisse und Gesamtzahlen festgehalten („die erste Schätzung lag im Durchschnitt 15 % daneben"), die nicht auf Sie zurückführen. Niemand wird Sie deswegen kontaktieren.

Wo Ihre Mahlzeiten bleiben. In Ihrem Konto, in der Europäischen Union, wie bisher. Braucht ein Vergleich eine Arbeitskopie — ein Foto neben seiner alten und neuen Schätzung —, wird diese Kopie nur auf unseren eigenen verschlüsselten Computern aufbewahrt, solange der Vergleich läuft, und danach gelöscht.

Ausschalten. Sie können ihn jederzeit an derselben Stelle ausschalten, so einfach, wie Sie ihn eingeschaltet haben; Ihre anderen iPhones folgen innerhalb von Minuten. Von da an sehen wir uns Ihre Mahlzeiten nicht mehr an und löschen jede Arbeitskopie davon unverzüglich, spätestens innerhalb von 30 Tagen. Der Widerruf macht nicht rückgängig, was davor geschehen ist (Art. 7 Abs. 3 DSGVO), und allgemeine Erkenntnisse, die nicht mehr auf Sie zurückführen, bleiben bestehen. Sonst ändert sich in der App so oder so nichts. Das Löschen Ihres Kontos schaltet ihn ebenfalls aus, und eine Anmeldung mit einem anderen Konto beginnt mit ausgeschaltetem Schalter.