Zum Hauptinhalt springen

Datenschutzerklärung

Stand: 2026-11-05

Diese Erklärung informiert dich nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten wir in MetaRiva verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage. MetaRiva verarbeitet Gesundheitsdaten (besondere Kategorien nach Art. 9 DSGVO); diese verarbeiten wir ausschließlich auf Basis deiner ausdrücklichen Einwilligung.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist die MetaRiva UG (haftungsbeschränkt), Buchwaldstraße 47, 66625 Nohfelden, Deutschland. Die vollständigen Angaben findest du im Impressum.
E-Mail: datenschutz@metariva.de

2. Kategorien verarbeiteter Daten

  • Bestands- und Kontaktdaten: E-Mail-Adresse, Name, ggf. Telefonnummer, Geburtsdatum, Profilbild.
  • Gesundheitsdaten (Art. 9): Angaben aus dem Risiko-Fragebogen (FINDRISC), Körpermaße (Gewicht, Taille, BMI), Befindlichkeits- und Schlafdaten, Ernährungstagebuch sowie daraus abgeleitete Risikoeinstufungen und KI-generierte Auswertungen (Hinweis des Tages, wöchentlicher Rückblick, Handlungsimpulse, Ernährungsplan).
  • Fotos von Mahlzeiten (Art. 9): wenn du die Foto-Analyse im Ernährungstagebuch nutzt, das Foto deiner Mahlzeit und eine optionale Anmerkung dazu. Auf einem Foto kann mehr zu sehen sein als das Essen — etwa andere Personen, deine Umgebung oder Dokumente. Bitte fotografiere deshalb nur dein Essen.
  • Nutzungs- und Fortschrittsdaten: Akademie-Fortschritt, erstes Öffnen von Lektionen, Testergebnisse, Handlungsimpulse, Präferenzen, Benachrichtigungs-Einstellungen.
  • Zahlungs-/Abodaten: Abo-Status und Stripe-Kunden-/ Abo-Kennungen (Kreditkartendaten verarbeitet ausschließlich Stripe, nicht wir).
  • Kontaktdaten ohne Konto: E-Mail-Adresse und — beim erweiterten Check-up-Bericht — optional dein Vorname, wenn du einen Gratis-Leitfaden oder den Bericht anforderst. Dazu speichern wir, wann und mit welchem Wortlaut du eingewilligt hast.
  • Nachrichten an die Kursleitung: Fragen, die du in der Akademie stellst, mit Bezug zu Woche und Lektion.
  • Kontaktanfragen: E-Mail-Adresse, optional dein Name, Betreff und Inhalt deiner Nachricht, wenn du uns über das Kontaktformular schreibst.
  • Technische Daten: Server-Logs, IP-Adresse, Session-Cookies.

3. Zwecke und Rechtsgrundlagen

  • Bereitstellung von Konto und Kurs — Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
  • Verarbeitung von Gesundheitsdaten zur Erstellung deines persönlichen Gesundheitsprofils und der Empfehlungen — Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig und jederzeit widerrufbar (siehe Abschnitt 8).
  • KI-gestützte Auswertung (Übermittlung an Mittwald, siehe Abschnitt 5) — gesonderte ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Dazu gehören:
    • der Hinweis des Tages, den wir erstellen, wenn du die Startseite aufrufst;
    • dein wöchentlicher Rückblick: Jeden Montag werten wir automatisch die Einträge der Vorwoche aus, wenn du an mindestens fünf Tagen eine Mahlzeit oder deine Befindlichkeit eingetragen hast — auch dann, wenn du die App nicht öffnest, damit der Rückblick am Montagmorgen bereitliegt;
    • Handlungsimpulse und die Erstellung deines Ernährungsplans.
    Ohne diese Einwilligung oder nach deinem Widerruf entstehen keine neuen KI-Auswertungen.
  • Foto-Analyse im Ernährungstagebuch — Erkennen der Bestandteile einer Mahlzeit und Schätzen der Mengen, damit du sie nicht einzeln suchen musst. Die Nährwerte stammen aus unserer Lebensmitteldatenbank, nicht aus der KI; ins Tagebuch übernommen wird erst, was du bestätigst. Rechtsgrundlage ist eine eigene, gesonderte ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die wir beim ersten Öffnen der Foto-Analyse einholen. Ohne sie kannst du Lebensmittel weiterhin über die Suche erfassen.
  • Benachrichtigungen in der Mobile-App — Erinnerungen an Akademie und Tagebuch, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über den Systemdialog deines Geräts und die Schalter in der App). Einzelheiten siehe Abschnitt 5a.
  • Zahlungsabwicklung — Art. 6 Abs. 1 lit. b DSGVO.
  • Gratis-Leitfäden und weitere E-Mails (Tipps und Angebote rund um Diabetes-Prävention) — Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 7 Abs. 2 Nr. 3 UWG. Du erteilst sie mit der Checkbox im Formular; wir halten den angezeigten Wortlaut fest. Du kannst jederzeit widerrufen — über den Abmeldelink in jeder E-Mail, über metariva.de/abmelden oder per Nachricht an uns.
  • Erweiterter Check-up-Bericht ohne Konto — Auswertung deiner Angaben und Versand per E-Mail auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Zur Speicherdauer siehe Abschnitt 7.
  • Betreuung durch die Kursleitung — Beantwortung der Fragen, die du in der Akademie stellst. Art. 6 Abs. 1 lit. b DSGVO und, soweit deine Frage Gesundheitsangaben enthält, Art. 9 Abs. 2 lit. a DSGVO. Deine Frage wird gespeichert und zusätzlich per E-Mail an die Kursleitung zugestellt (eigener Mailserver, siehe Abschnitt 5).
  • Kontaktformular — Bearbeitung deiner Anfrage. Art. 6 Abs. 1 lit. b DSGVO, soweit sie einen Vertrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Deine Nachricht wird nicht in der App gespeichert, sondern nur per E-Mail an unser Postfach weitergeleitet.
  • Sicherheit, Missbrauchsvermeidung, Reichweitenmessung — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4. Automatisierte Auswertung (Art. 22 DSGVO)

Dein FINDRISC-Score und die metabolische 4-Achsen-Einstufung werden automatisiert aus deinen Angaben berechnet. Diese Einstufung dient der Information und Prävention und ersetzt keine ärztliche Diagnose. Wie die Auswertung zustande kommt und welche Rechte du hast, erklären wir unter „So funktioniert die Auswertung".

5. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein. Mit allen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; sie verarbeiten deine Daten ausschließlich weisungsgebunden für uns und nicht für eigene Zwecke. Ausnahmen sind unten ausdrücklich benannt.

Supabase — Datenbank, Anmeldung, Datei-Speicher

Hier liegen dein Konto, deine Fragebogen-Antworten, dein Ernährungstagebuch und dein Kursfortschritt. Vertragspartner und Auftragsverarbeiter ist die Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Die Daten werden in einem Rechenzentrum in Zürich, Schweiz gespeichert. Für die Schweiz hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt (Angemessenheitsbeschluss nach Art. 45 DSGVO); eine Übermittlung dorthin ist damit einer Übermittlung innerhalb der EU gleichgestellt. Da der Anbieter seinen Sitz in Singapur hat und dort kein Angemessenheitsbeschluss besteht, haben wir für den Zugriff des Anbieters auf die Daten zusätzlich die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO vereinbart. Die von Supabase eingesetzten Unterauftragsverarbeiter sind unter supabase.com/legal/customer-resources/subprocessor-list veröffentlicht.

Vercel — Betrieb und Auslieferung der Anwendung

Vercel Inc., USA, betreibt die Server, auf denen MetaRiva läuft. Die Ausführung erfolgt in der EU-Region Frankfurt; dabei fallen technische Daten wie IP-Adresse und Server-Logs an. Grundlage der Übermittlung sind EU-Standardvertragsklauseln. Zur Reichweitenmessung nutzen wir Vercel Analytics — ohne Cookies, ohne Wiedererkennung einzelner Personen und ohne Speicherung der IP-Adresse.

Mittwald — KI-gestützte Auswertung

Für die Erstellung personalisierter Auswertungen und Empfehlungen — Hinweis des Tages, wöchentlicher Rückblick (montags automatisch für die Vorwoche, siehe Abschnitt 3), Handlungsimpulse und Ernährungsplan — übermitteln wir Ernährungs- und Gesundheitsangaben an das KI-Hosting der Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp. Dort läuft ein quelloffenes Sprachmodell auf Servern in deutschen Rechenzentren; eine Übermittlung in ein Drittland findet dabei nicht statt. Mittwald verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich zur Erstellung der jeweiligen Auswertung und nutzt sie nicht zum Training von Modellen. Der Betrieb ist nach ISO 27001 zertifiziert. Diese Übermittlung erfolgt ausschließlich nach deiner gesonderten ausdrücklichen Einwilligung; ohne sie nutzt du MetaRiva mit den regelbasierten Auswertungen.

Nutzt du die Foto-Analyse, übermitteln wir das Foto deiner Mahlzeit und deine optionale Anmerkung auf demselben Weg an Mittwald — ohne deinen Namen, deine E-Mail-Adresse oder andere Profilangaben. Dafür holen wir eine eigene Einwilligung ein, die du unabhängig von der übrigen KI-Auswertung erteilen und widerrufen kannst.

Stripe — Zahlungsabwicklung

Kauf und Abo wickeln wir über Stripe ab; Vertragspartner für Nutzer außerhalb Nord- und Südamerikas ist die Stripe Payments Europe Limited, Irland. Kreditkarten- und Bankdaten werden ausschließlich von Stripe verarbeitet und erreichen unsere Systeme nicht. Wir erhalten lediglich Abo-Status und Kundenkennungen. Für Betrugsprävention, Geldwäscheprüfung und die Erfüllung eigener aufsichtsrechtlicher Pflichten handelt Stripe eigenverantwortlich als Verantwortlicher und nicht in unserem Auftrag; hierfür gilt die Datenschutzerklärung von Stripe. Soweit Daten in die USA gelangen, stützt Stripe dies auf EU-Standardvertragsklauseln.

E-Mail-Versand

Unsere E-Mails (Registrierung, Passwort-Zurücksetzen, Kaufbestätigung, Kontolöschung, angeforderte Leitfäden und Check-up-Berichte sowie die Zustellung deiner Fragen an die Kursleitung und deiner Nachrichten aus dem Kontaktformular) versenden wir über einen eigenen Mailserver. Betrieben wird dieser von Matthias Schlich, Deutschland; mit ihm besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Drittlandübermittlungen

Die genannten Anbieter verarbeiten deine Daten in der EU beziehungsweise in der Schweiz. Mehrere von ihnen haben ihren Sitz jedoch in den USA oder in Singapur, sodass ein Zugriff aus einem Drittland nicht vollständig ausgeschlossen werden kann. Für diesen Fall haben wir mit allen Anbietern die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO vereinbart und die getroffenen Schutzmaßnahmen dokumentiert. Eine Kopie der Garantien stellen wir dir auf Anfrage unter datenschutz@metariva.de zur Verfügung.

5a. Benachrichtigungen (Mobile-App)

Wenn du in der App Benachrichtigungen erlaubst, plant die App auf deinem Gerät kurze Hinweise — etwa wenn eine neue Akademie-Woche freigeschaltet ist, wenn dein Wochenrückblick fertig ist, oder als Erinnerung an dein Tagebuch. Die Benachrichtigungen werden ausschließlich auf deinem Gerät erzeugt; es werden dafür keine Daten an Push-Dienste oder andere Dritte übermittelt. Die Nachrichten enthalten nur feste Texte, ohne deinen Namen und ohne Gesundheitsdaten.

Damit die Erinnerungen passen, liest die App auf deinem Gerät deine eigenen Einträge (zum Beispiel, ob du heute schon etwas eingetragen hast oder ob die Vorwoche genug Tage für den Rückblick hat). Bei uns gespeichert werden nur, ob du Benachrichtigungen zur Akademie bzw. zu zum Tagebuch („Begleiter“) möchtest, und wann du eine Lektion zum ersten Mal geöffnet hast. Auf deinem Gerät speichert die App die geplanten Benachrichtigungen und eine Liste der bereits gezeigten (Art und Datum) für 30 Tage, damit du nicht zu oft erinnert wirst; beim Abmelden werden die geplanten gelöscht.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du über den Systemdialog deines Geräts und die Schalter in der App erteilst. Du kannst Benachrichtigungen jederzeit in der App (Konto → Benachrichtigungen) oder in den Systemeinstellungen deines Geräts abschalten.

6. Cookies und Reichweitenmessung

MetaRiva verwendet ausschließlich technisch notwendige Cookies für die Anmeldung und Sitzungsverwaltung. Es werden keine Marketing- oder Tracking-Cookies gesetzt; ein Cookie-Banner ist daher nicht erforderlich.

Umami (eigene Instanz)

Für die Reichweitenmessung unserer Website und unserer App setzen wir Umami ein — eine Open-Source-Software, die wir in einer eigenen Instanz selbst betreiben. Gehostet wird diese Instanz wie die Website selbst bei Vercel in der EU-Region Frankfurt; die Messdaten liegen in einer Postgres-Datenbank bei Supabase in der EU. Beide Anbieter sind oben unter „Empfänger und Auftragsverarbeiter" bereits aufgeführt; ein weiterer Auftragsverarbeiter kommt durch die Reichweitenmessung nicht hinzu. An den Hersteller der Software oder an sonstige Dritte werden keine Daten übermittelt.

Umami setzt keine Cookies und speichert nichts auf deinem Endgerät. Eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich. Erfasst werden ausschließlich: aufgerufene Seite (ohne Parameter hinter „?" und „#"), verweisende Seite, Datum und Uhrzeit, grob aufgelöster Standort (Land/Region), Browsertyp, Betriebssystem, Gerätetyp und Bildschirmgröße sowie ausgelöste Ereignisse wie „Fragebogen abgeschlossen" oder „Kauf gestartet".

Ausnahme Kampagnen-Kennungen: Kommst du über eine Anzeige oder einen Kampagnenlink zu uns, werten wir die dafür vorgesehenen Parameter aus dem Link aus — utm_source, utm_medium, utm_campaign, utm_content, utm_term sowie die Klick-Kennungen der Werbenetzwerke gclid (Google), fbclid (Meta), msclkid (Microsoft), ttclid (TikTok) und li_fat_id (LinkedIn). So sehen wir, welche Kampagne einen Besuch ausgelöst hat. Diese Werte stehen in dem Link, über den du gekommen bist; wir verknüpfen sie nicht mit deinem Konto und übermitteln sie nicht an die Werbenetzwerke zurück. Alle übrigen Parameter hinter „?" und „#" werden vor der Messung entfernt.

Deine IP-Adresse wird nicht gespeichert. Sie wird nur flüchtig zur Bestimmung des Landes und zur Bildung einer Besucherkennung verwendet; diese Kennung ist ein Hashwert, der täglich wechselt und keiner Person zugeordnet werden kann. Es findet keine geräteübergreifende Wiedererkennung statt und es werden keine Nutzerkonten, Gesundheitsdaten, Fragebogenantworten oder Ergebnisse an die Reichweitenmessung übergeben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, zu verstehen, welche Inhalte genutzt werden und an welchen Stellen Nutzerinnen und Nutzer abbrechen, um das Angebot zu verbessern. Wegen der cookiefreien und IP-losen Ausgestaltung ist der Eingriff in deine Rechte gering. Du kannst der Messung jederzeit widersprechen — per E-Mail an datenschutz@metariva.de oder indem du in deinem Browser „Do Not Track" aktivierst.

7. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Nach Löschung des Kontos werden die zugehörigen Daten gelöscht; gesetzliche Aufbewahrungspflichten (z. B. steuer-/handelsrechtlich für Zahlungsdaten) bleiben unberührt.

Erweiterter Check-up-Bericht ohne Konto: Wenn du den Check-up ohne Konto machst und dir den erweiterten Bericht per E-Mail schicken lässt, speichern wir die daraus berechnete Auswertung (Gesundheitsdaten nach Art. 9 DSGVO) für 30 Tage. So kannst du dich in Ruhe entscheiden, ob du ein Konto anlegst, ohne den Fragebogen erneut auszufüllen. Legst du innerhalb dieser Frist kein Konto an, wird die Auswertung automatisch gelöscht. Mit einem Konto gilt stattdessen die oben genannte Speicherdauer. Deine E-Mail-Adresse behalten wir bis zu deiner Abmeldung, damit wir dir nicht ungewollt erneut schreiben.

Gratis-Leitfäden: Forderst du einen Leitfaden an, speichern wir deine E-Mail-Adresse zusammen mit dem Wortlaut deiner Einwilligung, bis du dich abmeldest. Den Einwilligungsnachweis bewahren wir danach noch so lange auf, wie er zur Abwehr von Ansprüchen erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO); die Adresse selbst wird nicht weiter für E-Mails genutzt. Abmelden kannst du dich über den Link in jeder E-Mail oder unter metariva.de/abmelden.

Fotos von Mahlzeiten speichern wir nicht — weder in der Datenbank noch im Datei-Speicher, und wir protokollieren ihren Inhalt nicht. Foto und Anmerkung werden nur für die jeweilige Auswertung verarbeitet und danach verworfen. Gespeichert werden nur die Tagebucheinträge, die du bestätigst (Lebensmittel und Menge); für sie gilt die oben genannte Speicherdauer. Um die Foto-Analyse auf fünf Auswertungen pro Tag zu begrenzen, zählen wir außerdem die Nutzungen je Konto und Tag — ohne Bezug zum Foto.

KI-Auswertungen (Hinweise des Tages, wöchentliche Rückblicke) bleiben gespeichert, solange dein Konto besteht — so kannst du frühere Rückblicke im Kalender nachlesen. Sie sind in deinem Datenexport enthalten. Ein Widerruf der KI-Einwilligung verhindert neue Auswertungen; bereits erstellte löschen wir auf Wunsch.

Fragen an die Kursleitung bleiben gespeichert, solange dein Konto besteht — so kannst du Frage und Antwort später noch nachlesen.

Kontaktanfragen löschen wir, sobald sie abschließend bearbeitet sind und keine gesetzlichen Aufbewahrungspflichten (z. B. für Geschäftsbriefe) entgegenstehen.

8. Deine Rechte

  • Auskunft (Art. 15) — inkl. Datenexport in deinem Konto.
  • Berichtigung (Art. 16) — direkt in Profil und Einträgen.
  • Löschung (Art. 17) — Konto-Löschung in den Einstellungen.
  • Datenübertragbarkeit (Art. 20) — JSON-Export in deinem Konto.
  • Einschränkung und Widerspruch (Art. 18, 21).
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3) — in den Kontoeinstellungen unter „Datenschutz & Einwilligungen".

Zur Ausübung genügt eine Nachricht an datenschutz@metariva.de.

9. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist das Unabhängige Datenschutzzentrum Saarland, Fritz-Dobisch-Straße 12, 66111 Saarbrücken (datenschutz.saarland.de).

10. Kein Medizinprodukt

MetaRiva ist ein Präventions- und Bildungsangebot und kein Medizinprodukt. Die App stellt keine Diagnosen und ersetzt keine ärztliche Beratung oder Behandlung.