xtranu

Datenschutzerklärung

1. Verantwortlicher


Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Carsten Beuge, Langeneßallee 26, 23554 Lübeck, Deutschland, Tel.: 015565443222, E-Mail: info@xtranu.de.



2. Wofür diese Erklärung gilt


Diese Erklärung gilt für xtranu.de und für die App unter app.xtranu.de.


xtranu ist eine Ernährungs- und Abnehm-App. Um dir einen Plan und ein Tagesziel zu berechnen, verarbeitet sie Angaben zu deinem Körper und zu deinem Essen. Das sind Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Wir gehen damit entsprechend sorgfältig um, und du entscheidest selbst, ob wir sie verarbeiten dürfen (Abschnitt 8).



3. Hosting


xtranu läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Server steht im Rechenzentrum Falkenstein in Deutschland, die Verarbeitung findet also ausschließlich in Deutschland statt. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.


Auch die Datenbank mit deinen Angaben liegt auf diesem Server. Sie ist von außen nicht erreichbar.



4. Server-Protokolle


Beim Aufruf übermittelt dein Browser Daten, die der Webserver protokolliert:




Diese Protokolle sind für den Betrieb und für die Abwehr von Angriffen erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem stabilen und sicheren Betrieb. Sie werden nach 14 Tagen gelöscht, nicht mit deinem Konto zusammengeführt und nicht weitergegeben.



5. Verschlüsselte Übertragung


xtranu wird ausschließlich verschlüsselt ausgeliefert (TLS). Du erkennst das an „https://" und dem Schloss-Symbol in der Adresszeile deines Browsers.



6. Cookies


xtranu setzt genau ein Cookie: xt_session. Darin steht deine Anmeldung, damit du nicht bei jedem Seitenaufruf dein Passwort eingeben musst. Es ist als httpOnly gesetzt, kann also von Skripten im Browser nicht ausgelesen werden, und läuft nach 30 Tagen ab. Beim Abmelden wird es gelöscht.


Dieses Cookie ist technisch erforderlich, damit die App überhaupt funktioniert. Deshalb brauchen wir dafür keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG), und deshalb siehst du bei uns auch kein Einwilligungsbanner. Andere Cookies setzen wir nicht.



7. Dein Konto


Zum Anlegen eines Kontos brauchen wir deine E-Mail-Adresse und ein Passwort. Freiwillig kannst du einen Namen angeben, der nur für die Anrede in der App benutzt wird.


Dein Passwort speichern wir nicht im Klartext, sondern nur als Hash (bcrypt). Auch wir können es nicht lesen. Die Links zur Bestätigung deiner Adresse und zum Zurücksetzen des Passworts liegen bei uns ebenfalls nur als Prüfsumme (SHA-256); der Link selbst steht nur in der Mail an dich und verfällt.


Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung des Nutzungsvertrags.



8. Deine Gesundheitsdaten und deine Einwilligung


Damit xtranu rechnen kann, fragen wir im Fragebogen nach: Geburtsjahr, Geschlecht, Körpergröße, aktuellem Gewicht, Zielgewicht, Ziel (abnehmen, halten, aufbauen), Bewegung im Alltag, Ernährungsform und Unverträglichkeiten oder Allergien. Dazu kommen später dein Gewichtsverlauf, was du gegessen und getrunken hast und, wenn du Premium nutzt und sie selbst einträgst, deine Körpermaße: Taille, Bauch, Hüfte und Brust.


Das sind Gesundheitsdaten. Wir verarbeiten sie ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Diese Einwilligung erteilst du getrennt von der Anmeldung, im Fragebogen, mit einem eigenen Häkchen. Ohne sie legen wir diese Angaben nicht an.


Du kannst die Einwilligung jederzeit widerrufen, in der App unter „Konto" mit einem Klick. Dann löschen wir deine Angaben zu Alter, Größe, Gewicht und Ziel samt Verlauf und deine Körpermaße. Dein Konto bleibt bestehen, du landest wieder beim Fragebogen. Der Widerruf wirkt für die Zukunft; dass die Verarbeitung bis dahin rechtmäßig war, bleibt davon unberührt.



9. Was du in xtranu einträgst


Zu deinem Konto speichern wir außerdem, was du selbst einträgst: abgehakte oder frei erfasste Mahlzeiten mit ihren Nährwerten, getrunkenes Wasser, deine Gewichtseinträge, deine Körpermaße, deine Einkaufsliste, Rezepte, die du selbst anlegst, sowie welche Rezepte du dir als Favoriten merkst und welche Karten du auf deiner Startseite sehen willst. Daraus entstehen dein Plan, deine Tagesbilanz und deine Statistik.


Diese Daten liegen bei deinem Konto und sind für andere Nutzer nicht sichtbar.



10. Erfassung per Foto oder Text (KI)


Wenn du eine Mahlzeit fotografierst oder in eigenen Worten beschreibst, schätzt eine KI daraus die Nährwerte. Dafür arbeiten wir mit der Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA.


Konkret heißt das:




Rechtsgrundlage ist deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du für die Verarbeitung deiner Gesundheitsdaten erteilt hast; die Nutzung dieser Funktion entscheidest du in jedem Einzelfall selbst. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission, die Bestandteil unseres Vertrags zur Auftragsverarbeitung mit Anthropic sind.


Bitte fotografiere nur dein Essen. Was auf dem Bild sonst noch zu sehen ist, geht mit.


Für die Mengenbegrenzung im kostenlosen Zugang halten wir fest, wann du diese Funktion benutzt hast und ob der Aufruf geklappt hat — nicht, was du erfasst hast.



11. Barcode scannen


Der Barcode wird auf deinem Gerät aus dem Kamerabild gelesen. Das Kamerabild verlässt dein Gerät dabei nicht. Übertragen wird nur die erkannte Ziffernfolge.


Mit dieser Nummer fragen wir die Produktdatenbank Open Food Facts ab (Open Food Facts, 21 rue des Iles, 94100 Saint-Maur-des-Fossés, Frankreich). Die Anfrage geht von unserem Server aus, deine IP-Adresse wird also nicht übermittelt. Die gefundenen Produktdaten speichern wir bis zu 90 Tage zwischen, damit dieselbe Packung nicht jedes Mal neu abgefragt werden muss.



12. Premium und Zahlung


Für die Bezahlung von Premium nutzen wir Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland).


Wenn du Premium buchst, leiten wir dich auf eine Seite von Stripe weiter. Deine Zahlungsdaten gibst du dort ein, wir bekommen deine Kartendaten nie zu sehen. Wir übermitteln an Stripe deine E-Mail-Adresse und eine Kennnummer deines Kontos, damit die Zahlung zugeordnet werden kann. Zurück bekommen wir die Kunden- und Abonummer sowie die Laufzeit deines Abos und speichern diese bei deinem Konto.


Welche Daten Stripe darüber hinaus erhebt, steht in Stripes eigener Datenschutzerklärung unter stripe.com/de/privacy. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung des Vertrags; für die Aufbewahrung der Rechnungsunterlagen zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuerlichen Aufbewahrungspflichten.


Rechnungen, Zahlungsmittel und die Kündigung verwaltest du direkt bei Stripe; einen Link dorthin findest du in deinem Konto.



13. E-Mails


xtranu schickt dir E-Mails, die für dein Konto nötig sind: die Bestätigung deiner Adresse und den Link, wenn du dein Passwort vergessen hast. Wir versenden keine Werbung und keinen Newsletter.


Der Versand läuft über ALL-INKL.COM, Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Dort liegt auch das Postfach zu unserer Kontaktadresse. Mit All-Inkl besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, die Verarbeitung findet in Deutschland statt.


Wenn du uns schreibst, verwenden wir deine Adresse und deine Nachricht nur, um dein Anliegen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO, bei Vertragsfragen Art. 6 Abs. 1 lit. b DSGVO).


Über den Kündigungsknopf auf xtranu.de kannst du ohne Anmeldung kündigen. Dabei übermittelst du deinen Namen, die E-Mail-Adresse deines Kontos, den gewünschten Zeitpunkt und bei einer außerordentlichen Kündigung deren Grund. Wir verarbeiten diese Angaben, um die Kündigung zuzuordnen, umzusetzen und dir ihren Eingang zu bestätigen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 312k BGB. Die Erklärung und unsere Bestätigung bewahren wir als Nachweis auf, solange Ansprüche aus dem Vertrag geltend gemacht werden können. Das Formular speichert deine Angaben nicht in der Datenbank, es verschickt sie per E-Mail.



14. Schutz vor Missbrauch


Damit niemand Passwörter durchprobieren oder in fremdem Namen Mails auslösen kann, zählen wir Anmelde- und Anforderungsversuche je Absenderadresse. Diese Zählung läuft nur im Arbeitsspeicher und wird nicht gespeichert; sie verfällt nach wenigen Minuten von selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren Betrieb.



15. xtranu auf dem Startbildschirm


Du kannst xtranu wie eine App auf deinem Startbildschirm ablegen. Dafür legt der Browser ein kleines Programm an, das nur die Hülle der Seite und eine Offline-Meldung vorhält. Angemeldete Seiten mit deinen Daten werden bewusst nicht auf dem Gerät zwischengespeichert. Es werden dabei keine Daten an uns übertragen.



16. Wie lange wir deine Daten speichern


Solange du dein Konto hast. Du kannst es in der App unter „Konto" jederzeit selbst löschen; dazu musst du dein Passwort eingeben.


Das Löschen ist endgültig und sofort: Konto, Profil, Gewichtsverlauf, Mahlzeiten, Wassereinträge, Einkaufsliste und eigene Rezepte werden wirklich gelöscht, nicht nur stillgelegt. Ein laufendes Abo wird dabei sofort gekündigt. Bei Stripe verbleiben die Zahlungs- und Rechnungsunterlagen, solange die steuerlichen Aufbewahrungsfristen laufen.


Widerrufst du nur deine Einwilligung, gehen die Gesundheitsdaten weg und das Konto bleibt (Abschnitt 8).



17. Keine Auswertung, keine Werbung, keine Weitergabe


Wir binden keine Schriften, Karten, Videos oder Skripte von fremden Servern ein. Es gibt keine Reichweitenmessung, kein Tracking, keine Profilbildung zu Werbezwecken. Deine Daten werden nicht verkauft und nicht an Dritte weitergegeben. Außer den in dieser Erklärung genannten Stellen — Hetzner, All-Inkl, Anthropic, Open Food Facts und Stripe, jeweils für den dort beschriebenen Zweck — bekommt niemand Zugriff.



18. Keine automatisierte Entscheidung über dich


Dein Plan und dein Tagesziel werden zwar automatisch berechnet, es handelt sich dabei aber nicht um eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO: Sie hat dir gegenüber keine rechtliche Wirkung und beeinträchtigt dich nicht in ähnlicher Weise erheblich. Es sind Vorschläge, denen du folgen kannst oder nicht.


xtranu ist kein Medizinprodukt und ersetzt keine ärztliche oder ernährungsmedizinische Beratung.



19. Deine Rechte


Du hast uns gegenüber folgende Rechte:




Für alles davon genügt eine Nachricht an info@xtranu.de. Löschen und Widerruf kannst du außerdem selbst in der App erledigen, unter „Konto".



20. Widerspruchsrecht


Soweit wir deine Daten auf Grundlage eines berechtigten Interesses verarbeiten, kannst du dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Wir beenden die Verarbeitung dann, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.



21. Beschwerderecht


Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist für uns das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, www.datenschutzzentrum.de.


Stand: 15.08.2026