Datenschutz­erklärung — BULKR App

Stand: 26. Juli 2026 · Ergänzung zur Haupt-Datenschutzerklärung mit allen technischen Details, Berechtigungen und Drittanbietern der BULKR App.

§1 Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Bei datenschutzrechtlichen Anliegen wende dich direkt an die oben genannte E-Mail. Anfragen werden innerhalb eines Monats nach Eingang beantwortet (Art. 12 Abs. 3 DSGVO).

§2 App-Berechtigungen im Detail

Damit einzelne Funktionen arbeiten können, fragt die App über das Berechtigungssystem von iOS bzw. Android folgende Zugriffe an. Du kannst jede Berechtigung jederzeit in den Geräteeinstellungen widerrufen — die App funktioniert weiter, nur die jeweils abhängige Funktion ist dann nicht nutzbar.

Kamera

Wird benötigt für den Barcode-Scanner (Lebensmittel scannen), für das Aufnehmen von Fortschrittsfotos sowie für das Foto-Tracking von Mahlzeiten. Es findet keine permanente Hintergrund-Aktivierung statt — die Kamera läuft nur, wenn du sie aktiv aufrufst.

Foto-Bibliothek

Wird benötigt, wenn du ein bereits vorhandenes Bild aus deiner Bibliothek auswählst (z. B. für ein Fortschritts- oder Food-Foto). iOS unterscheidet zwischen „voller" und „eingeschränkter" Foto-Auswahl — die App funktioniert mit beiden Modi.

Mikrofon

Wird benötigt für die Funktion „Mahlzeit per Sprache hinzufügen". Die Aufnahme wird sofort nach Beendigung an die KI-Edge-Function geschickt und auf dem Gerät verworfen. Sie wird nicht persistiert.

Apple HealthKit (iOS) / Google Health Connect (Android)

Wird benötigt für den optionalen Health-Sync. Mit dieser Berechtigung kann die App Schritte, Gewicht und Ernährungsdaten lesen — und (nur Android) eingegebene Ernährungsdaten zurück in Health Connect schreiben. Die Daten werden ausschließlich lokal auf deinem Gerät verarbeitet. Es findet keine direkte Übertragung der Roh-Health-Daten an unsere Server statt.

Benachrichtigungen

Wird benötigt für Reminder ans Tracken, Trial-Erinnerungen und Streak-Hinweise. Diese Benachrichtigungen werden ausschließlich lokal auf deinem Gerät geplant (über expo-notifications). Es werden keine Push-Token an Dritte übertragen und keine Remote-Pushes von unseren oder fremden Servern versendet.

Standort (optional)

Wird ausschließlich abgefragt, wenn du an öffentlichen Challenges mit Geo-Bezug teilnimmst. Wenn du diese Funktion nicht nutzt, fragen wir die Berechtigung nicht ab.

§3 Datenkategorien und Speicherorte

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

• Account- und Auth-Daten: E-Mail-Adresse, Apple- oder Google-Sub (anonymer Identifier des Identity-Providers), Auth-User-UUID, Refresh-/Session-Tokens (im SecureStore des Geräts).
• Profildaten: Display-Name, Username, Name, Geburtsdatum, Geschlecht, Trainingsziel.
• Gesundheitsdaten (Art. 9 DSGVO): Gewicht, Körperfett, Brust-/Bauch-/Oberarm-Maße, tägliche Kalorien- und Makro-Werte, getrackte Mahlzeiten, Workouts, Wasseraufnahme, Streak.
• Foto-Daten: Fortschrittsfotos (in unserem Storage in der Schweiz, Region Zürich), Food-Fotos (nur transient zur KI-Erkennung — werden nicht dauerhaft gespeichert).
• Sprachaufnahmen: Audio aus dem Voice-Tracking — wird zur KI-Verarbeitung an Google Gemini geschickt und nach Verarbeitung gelöscht.
• Crash-Reports (Opt-In): Stacktrace, anonyme User-UUID, App-Version, kurzzeitig IP-Adresse.
• Analytics-Events (Opt-In): Distinct-ID, Screen-Events, App-Lifecycle, anonyme Custom-Events.
• Subscription-Daten: Apple-/Google-Receipt, Abo-Status, Trial-Status, Entitlements. Keine Zahlungsmitteldaten.
• Soziale Daten (optional): Friendships, Feed-Snapshots, Community-Foto-Beiträge, Discord-Shares (nur bei aktiver User-Action).
• Attributions- und Referral-Daten: Geräte-Identifikatoren (IDFV, GAID/App-Set-ID; IDFA nur bei iOS-ATT-Zustimmung), IP-Adresse, App-/Install-Events, Referral-/Einladungs-Codes sowie die pseudonyme Werber↔Geworbener-Zuordnung (siehe §4 Nr. 15 und §13).

§4 Drittanbieter im Detail

Wir setzen die folgenden Drittanbieter ein. Mit den Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Einzelne Anbieter (Apple, Google Sign-In, Discord) handeln bei ihren eigenen Diensten als eigenständige Verantwortliche und nicht als Auftragsverarbeiter — sie sind unten entsprechend gekennzeichnet.

Wir verkaufen keine personenbezogenen Daten und geben keine Gesundheits- oder Ernährungsdaten zu Werbezwecken an Dritte weiter. Werbe-IDs (IDFA) werden ausschließlich für die Attribution über AppsFlyer (Nr. 15) genutzt und nur, wenn du auf iOS im ATT-Dialog zustimmst — ohne deine Zustimmung findet kein Cross-App-Tracking über die Werbe-ID statt.

§5 Gesundheitsdaten (Art. 9 DSGVO)

Die folgenden Daten sind „Gesundheitsdaten" im Sinne von Art. 4 Nr. 15 DSGVO und unterliegen dem besonderen Schutz nach Art. 9 Abs. 1 DSGVO:

• Gewicht, Körperfett, Körperumfänge (Brust, Bauch, Oberarm), Geschlecht, Alter
• Tracking-Daten: Kalorien, Makros, Mahlzeiten, Wasser, Workouts
• Health-Sync-Daten aus HealthKit / Health Connect
• Voice- und Foto-Inputs zur Lebensmittel-Erkennung (Aussagen zur Ernährung sind gesundheitsbezogen)

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO — deine ausdrückliche Einwilligung. Diese holen wir

1. im Onboarding über einen separaten, klar gekennzeichneten Toggle (nicht versteckt in einer Sammeleinwilligung), und
2. für KI-Verarbeitung (Gemini), Voice-Tracking und Health-Sync erneut beim ersten Aufruf der jeweiligen Funktion.

Widerruf (Art. 7 Abs. 3 DSGVO): Du kannst jede dieser Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen — über die App-Einstellungen, durch Account-Löschung oder per E-Mail an support@bulkr.fitness.

§6 Voice- und Foto-Eingaben — was technisch passiert

Foto-Tracking (analyze-food)

1. Du nimmst ein Foto deiner Mahlzeit auf oder wählst eines aus.
2. Die App kodiert das Bild als Base64 und schickt es an die Edge-Function analyze-food.
3. Diese ruft die Google Gemini API auf, ohne deine User-ID mitzusenden.
4. Die erkannten Lebensmittel + geschätzte Mengen kommen zurück. Du kannst sie prüfen, anpassen oder verwerfen.
5. Das Bild wird auf unseren Servern nicht persistiert.

Voice-Tracking (analyze-food-voice)

1. Du sprichst eine Mahlzeit ein.
2. Die Audio-Bytes werden an analyze-food-voice geschickt — von dort an Gemini zur Speech-to-Text- und Inhaltsanalyse.
3. Die Antwort wird strukturiert zurückgegeben. Audio wird nach Verarbeitung verworfen.

Freitext-Eingabe (analyze-food-text)

Wie oben, nur mit Text statt Foto/Audio. Auch hier wird keine User-ID mitgesendet.

Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt — du bestätigst jeden Eintrag manuell.

Hinweis zum Einsatz künstlicher Intelligenz (Art. 50 der Verordnung (EU) 2024/1689, KI-Verordnung, anwendbar ab 2. August 2026): Die erkannten Lebensmittel, Mengen und Nährwerte stammen aus einem KI-System und sind automatisiert erzeugte Schätzungen. Sie können falsch oder unvollständig sein und lassen sich vor der Übernahme in dein Tagebuch prüfen und ändern. Eine medizinische Bewertung oder Diagnose ist damit nicht verbunden.

§7 HealthKit / Health Connect — bleibt lokal

iOS — Apple HealthKit: Wenn du der App diese Berechtigung erteilst, kann sie Schritte, Gewicht und Ernährungsdaten aus HealthKit lesen und (bei Schreibrechten) eintragen. Die Daten bleiben in deinem HealthKit-Speicher und werden nicht direkt an unsere Server übertragen. Widerruf in iOS-Einstellungen → Datenschutz & Sicherheit → Health → BULKR.

Android — Google Health Connect: Analog über die Health-Connect-App. Wir lesen READ_STEPS, READ_WEIGHT, READ_NUTRITION und schreiben WRITE_NUTRITION (z. B. wenn du eine Mahlzeit in BULKR einträgst und sie zurück nach Health Connect spielen willst). Widerruf in der Health-Connect-App.

Erst wenn du Cloud-Sync aktivierst, fließen Tracking-Werte (Gewicht, Mahlzeit) als Teil deines BULKR-Profils auch in unsere Datenbank.

§8 Benachrichtigungen (lokal)

Die App zeigt Erinnerungen (Tracking, Trial, Streak) als lokale Benachrichtigungen an. Diese werden ausschließlich auf deinem Gerät geplant und ausgelöst (über expo-notifications, scheduleNotificationAsync).

• Es wird kein Push-Token erzeugt oder an Dritte übertragen.
• Es findet kein Remote-Push statt — weder über Firebase Cloud Messaging (FCM) noch über einen anderen Push-Dienst, und es werden keine Benachrichtigungen von unseren Servern versendet.
• Der Inhalt der Benachrichtigungen verlässt dein Gerät nicht.

Es findet kein Massen-Versand zu Werbezwecken statt — nur App-funktionale Reminder. Du kannst Benachrichtigungen jederzeit in den Geräteeinstellungen abschalten.

§9 In-App-Käufe und Abonnements (RevenueCat + Apple/Google)

BULKR Premium ist als Abonnement über den Apple App Store und Google Play Store buchbar.

• Zahlungsabwicklung läuft ausschließlich über Apple bzw. Google. Wir erhalten keine Zahlungsmitteldaten.
• RevenueCat verwaltet Subscription-Status, Trial-Eligibility und Receipt-Validierung — wir erhalten eine pseudonyme App-User-UUID und den Receipt.
• Aufbewahrung von Belegen: bis zu 10 Jahre nach §§ 147 AO, 257 HGB.

§10 Crash-Reporting (Sentry) — Opt-In

Crash-Reports helfen uns, Abstürze und Bugs schnell zu beheben. Wir erfassen sie nur, wenn du im Onboarding bzw. in den Einstellungen unter Datenschutz → Crash-Reports senden aktiv zustimmst.

Wenn aktiviert: Stacktrace, anonyme User-UUID, App-Version, Gerätetyp, kurzzeitig IP-Adresse. Sensible Felder werden bereits im SDK gefiltert (beforeSend). Speicherdauer 90 Tage. Widerruf jederzeit über denselben Toggle.

§11 Analytics (PostHog) — Opt-In, EU-Server

Wenn du im Onboarding bzw. in den Einstellungen unter Datenschutz → Analytics zustimmst, erfassen wir pseudonyme Nutzungs-Events (Screen-Views, Klicks, App-Lifecycle). Die Daten gehen an den EU-Endpoint eu.i.posthog.com (Frankfurt).

Keine PII (E-Mail, Klarname) wird übertragen. Speicherdauer 12 Monate. Widerruf jederzeit über denselben Toggle.

§12 Discord-Foto-Sharing — nur bei aktiver User-Action

Du kannst Fortschrittsfotos oder Streak-Erfolge optional in den BULKR-Community-Discord-Server posten. Dies geschieht nur, wenn du in der App aktiv „Teilen" tippst und einen Bestätigungsdialog absegnest.

Übermittelte Inhalte: Foto, Display-Name, optionale Beschreibung; falls du Marketing-Sichtbarkeit gesetzt hast, zusätzlich Body-Measurements und Trainings-Phase. Geteilte Inhalte sind für andere Discord-Mitglieder sichtbar — kopierbar, screenshotbar, dauerhaft. Wir haben keinen Einfluss auf den weiteren Verbleib auf Discord.

Widerruf für künftige Shares jederzeit möglich (einfach nicht teilen oder Feature deaktivieren). Bereits geteilte Inhalte können wir auf Anfrage entfernen, soweit wir Admin-Rechte im Server haben.

§13 Freund einladen (Referral-Programm)

Mit „Freund einladen" kannst du über einen persönlichen Einladungs-Link Freunde werben und dafür eine Belohnung erhalten. In unserer Supabase-Datenbank verarbeiten wir dafür:

• die Zuordnung Werber ↔ Geworbener über interne, pseudonyme Nutzer-IDs (referrer_user_id ↔ referred_user_id)
• den generierten Referral-Code bzw. Einladungs-Link
• eine Geräte-Kennung (device_id) zur Erkennung von Mehrfach- und Missbrauchsfällen
• den Kauf- bzw. Belohnungs-Status (ob die Bedingung für die Belohnung erfüllt wurde)

Die technische Zuordnung „welcher Install kam über welchen Einladungs-Link" läuft über AppsFlyer (§4 Nr. 15). Der eingelöste Code wird nach dem Login aus einem geparkten Wert (pending_referral_code) übernommen.

Datensparsamkeit: Die Zuordnung erfolgt ausschließlich über pseudonyme IDs. Der Werber sieht keine Klarnamen, E-Mail-Adressen oder Profildaten der geworbenen Person — nur, dass bzw. wie viele Einladungen erfolgreich waren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des auf deine Veranlassung angestoßenen Belohnungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem missbrauchssicheren Empfehlungsprogramm).

Speicherdauer: Bis zur Account-Löschung eines der beteiligten Nutzer bzw. bis zum Wegfall des Belohnungsprogramms; belohnungsrelevante Kaufbelege gemäß steuerlicher Aufbewahrungsfristen (§ 147 AO, § 257 HGB).

§14 Datenexport (Art. 20 DSGVO)

Du kannst deine Daten jederzeit als strukturierte JSON-Datei exportieren — über Einstellungen → Account → Daten exportieren. Technisch ruft die App die Edge-Function export-user-data auf, die alle deine Profildaten, Tracking-Daten, Body-Measurements und Subscription-Status zusammenstellt.

Cloud-only Inhalte sozialer Funktionen (z. B. Discord-Share-Logs) kannst du zusätzlich per Mail an support@bulkr.fitness anfordern.

§15 Account-Löschung (Art. 17 DSGVO, mit 14-Tage-Karenz)

Du kannst deinen Account jederzeit in der App löschen: Einstellungen → Account → Daten löschen.

Ablauf:

1. Du stößt die Löschung an. Dein Account wird sofort gesperrt und für andere Nutzer unsichtbar.
2. Es läuft eine 14-tägige Karenzfrist, in der du den Vorgang per Login wieder rückgängig machen kannst (Schutz vor versehentlicher Löschung).
3. Nach Ablauf der Frist werden alle deine Daten durch unsere Edge-Function delete-expired-accounts (täglicher Cron-Job) endgültig entfernt: Auth-User, Profil, Tracking, Body-Measurements, Foto-Uploads, Friendships, Snapshots.
4. Pseudonyme Identifier in Sentry / PostHog / RevenueCat werden ebenfalls entfernt.

Ausnahme: Subscription-Belege müssen wir aus steuer-/handelsrechtlichen Gründen bis zu 10 Jahre aufbewahren (§ 147 AO, § 257 HGB). Diese werden für andere Zwecke gesperrt.

Community-Beiträge: Lebensmittel-Submissions in der gemeinsamen Community-Datenbank bleiben — soweit andere Nutzer sich darauf stützen — im Datenbestand erhalten. Auf Anfrage anonymisieren wir den Username durch „[Gelöschter Nutzer]" oder entfernen den Beitrag.

§16 Speicherdauer pro Kategorie

Kategorie	Speicherdauer
Account-, Profil- und Tracking-Daten	Bis zur Account-Löschung (+ 14 Tage Karenz)
Fortschrittsfotos	Bis du sie selbst oder den Account löschst
Food-Fotos (analyze-food)	Nicht persistiert — nur transient zur Analyse
Sprachaufnahmen (analyze-food-voice)	Nicht persistiert
Crash-Reports (Sentry)	90 Tage
Analytics-Events (PostHog)	12 Monate
Subscription-Belege (RevenueCat)	Vertragsdauer + bis zu 10 Jahre (§ 147 AO, § 257 HGB)
Transaktions-Mail-Logs (Resend)	Bis zu 12 Monate
HealthKit / Health Connect	Lokal auf dem Gerät — nicht bei uns persistiert
Discord-Shares	Auf Discord dauerhaft, bis Entfernung
AppsFlyer-Attribution / Referral-Zuordnung	Vertragsdauer, danach anonymisierte Aggregate

§17 Drittlandtransfers

Soweit Daten an Empfänger außerhalb des EWR übermittelt werden — überwiegend in die USA — sichern wir die Übermittlung durch folgende Garantien nach Art. 44 ff. DSGVO ab:

• EU-US Data Privacy Framework (DPF): Angemessenheitsbeschluss vom 10.07.2023. DPF-zertifiziert sind u. a. Sentry, Google LLC, Resend und Discord. Nicht selbst DPF-zertifiziert und daher ausschließlich über Standardvertragsklauseln (SCC) abgesichert sind Supabase (US-Unternehmen; die Sub-Prozessoren AWS/Google Cloud sind DPF-zertifiziert), PostHog und RevenueCat.
• Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO in der Fassung (EU) 2021/914 — ergänzend mit allen US-Empfängern.
• Israel-Angemessenheitsbeschluss: Für AppsFlyer Ltd. (Israel) besteht ein Angemessenheitsbeschluss der EU-Kommission (Entscheidung 2011/61/EU, im Januar 2024 bestätigt, Art. 45 DSGVO); soweit Daten an die US-Tochter bzw. US-Server gehen, greifen ergänzend SCC.
• EU-/Schweiz-Hosting wo möglich: Supabase-Hosting für BULKR liegt in der Schweiz (Zürich, Angemessenheitsbeschluss der EU-Kommission), PostHog läuft über den EU-Endpoint eu.i.posthog.com in Frankfurt, Apple- und Google-Vertragspartner sitzen in Irland.
• Technische Maßnahmen: Filterung sensibler Felder bei Sentry; keine Trainingsverwendung der Gemini-Inhalte (Paid Tier).

Sollte das DPF gerichtlich aufgehoben werden, stützen wir die betroffenen Übermittlungen ausschließlich auf SCC + ergänzende Maßnahmen und informieren dich bei wesentlichen Änderungen.

§18 Betroffenenrechte

• Art. 15 — Auskunft: über die Export-Funktion in der App oder per Mail.
• Art. 16 — Berichtigung: direkt in der App oder per Mail.
• Art. 17 — Löschung: in der App über „Daten löschen" mit 14-Tage-Karenz.
• Art. 18 — Einschränkung: per Mail an support@bulkr.fitness.
• Art. 20 — Datenübertragbarkeit: über die Export-Funktion (JSON).
• Art. 21 — Widerspruch: gegen Verarbeitung auf Basis berechtigter Interessen sowie gegen Direktwerbung — jederzeit.
• Art. 7 Abs. 3 — Widerruf von Einwilligungen: jederzeit über die App-Toggles oder per Mail.
• Art. 77 — Beschwerde bei Aufsichtsbehörde: siehe unten.

Widerspruch gegen Datenverarbeitung aus besonderer Situation (Art. 21 DSGVO): Wenn die Verarbeitung deiner Daten auf Art. 6 Abs. 1 lit. f DSGVO beruht, hast du jederzeit das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch einzulegen. Wir stellen die Verarbeitung dann ein, sofern nicht zwingende schutzwürdige Gründe überwiegen.

§19 Minderjährige

Das Angebot richtet sich an Personen ab 16 Jahren. Personen unter 16 Jahren dürfen die App nicht nutzen.

Bei Personen zwischen 16 und 17 Jahren ist die Zustimmung der Erziehungsberechtigten zur Datenverarbeitung erforderlich. Beim Abschluss einer kostenpflichtigen Subscription gilt zusätzlich §§ 107 ff. BGB — Minderjährige dürfen ohne Zustimmung des gesetzlichen Vertreters keinen wirksamen Vertrag schließen.

Es existiert ein Feld parental_consent im Profil, in dem du diese Zustimmung dokumentieren kannst. Solltest du dich als Erziehungsberechtigter melden, dass eine Person unter 16 die App nutzt, löschen wir das Profil unverzüglich.

§20 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns als Verantwortlichen mit Sitz in Berlin zuständig ist:

Du kannst dich darüber hinaus bei der Aufsichtsbehörde deines eigenen Bundeslandes oder EU-Mitgliedstaats beschweren.

§21 Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich Funktionen, Drittanbieter oder die Rechtslage ändern. Über wesentliche Änderungen informieren wir dich rechtzeitig direkt in der App.

Die jeweils aktuelle Fassung findest du in der App unter Einstellungen → Rechtliches → Datenschutz sowie unter bulkr.fitness/app-datenschutz.html.

Stand: 6. Juli 2026

---

Kontakt für datenschutzrechtliche Anliegen: