Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und in der Flexen-App ist:

Flexen UG (haftungsbeschränkt)
Paul-Heidelbach-Straße 14
34134 Kassel, Deutschland
Geschäftsführer: Marcel Schneider, Leon Schmelzle
Handelsregister: HRB 20498, Amtsgericht Kassel
E-Mail: info@flexen.co

2. Geltungsbereich

Diese Datenschutzerklärung deckt zwei Bereiche ab:

• Website (Abschnitte 3–5): den Besuch von flexen.co und die Kontaktaufnahme per E-Mail.
• Flexen-App (Abschnitte 6–14): die Nutzung der Flexen-App für iOS und Android, inklusive Konto, Gesundheits- und Ernährungsdaten, KI-Funktionen und Käufen.

Die Abschnitte 15–19 (Empfänger, Speicherdauer, deine Rechte) gelten für beide Bereiche.

3. Website: Hosting

Diese Website wird bei Google Firebase Hosting (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) gehostet. Beim Besuch der Website werden automatisch Informationen (z. B. IP-Adresse, Zeitpunkt des Zugriffs, abgerufene Seite, User-Agent) in Server-Logfiles gespeichert. Diese Daten werden ausschließlich zum Zweck des stabilen Betriebs der Website ausgewertet und sind nicht bestimmten Personen zuordenbar. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen Bereitstellung der Website).

4. Website: Kontaktaufnahme per E-Mail

Wenn du uns per E-Mail kontaktierst (z. B. an info@flexen.co), verarbeiten wir die von dir übermittelten Daten (E-Mail-Adresse, Inhalt, ggf. Name) zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Die Daten werden gelöscht, sobald sie für die Beantwortung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

5. Website: Keine Cookies, kein Tracking, lokale Schriftarten

Diese Website setzt keine Cookies und verwendet kein Tracking. Es werden keine Drittanbieter-Skripte (z. B. Google Analytics, Facebook-Pixel) eingebunden.

Diese Website nutzt lokal gehostete Schriftarten (Self-Hosting). Es werden keine Verbindungen zu externen Font-Servern (z. B. Google Fonts) hergestellt.

6. Flexen-App: Konto & Registrierung

Für die Nutzung der Flexen-App benötigst du ein Konto. Zur Registrierung und Anmeldung bieten wir folgende Methoden an:

• E-Mail und Passwort — wir senden dir eine Verifizierungs-E-Mail zur Bestätigung deiner Adresse.
• Google Sign-In — Anmeldung mit deinem Google-Konto.
• Telefonnummer — Anmeldung per Einmal-Code (SMS); deine Telefonnummer wird nur bei dieser Methode gespeichert.

Die Authentifizierung erfolgt über Firebase Authentication (Google). Mit deinem Konto wird eine pseudonyme Nutzer-ID (Firebase-UID) erzeugt, mit der deine App-Daten verknüpft werden.

Profildaten: Im Rahmen des Onboardings und in deinem Profil verarbeiten wir — soweit du sie angibst — E-Mail-Adresse, Benutzername, Anzeigename, Geburtsdatum, Körpergröße, Gewicht, Körperfettanteil, Geschlecht, Fitnessziel, Aktivitätslevel, Ernährungspräferenzen, Allergien und Unverträglichkeiten, eine optionale Angabe zu Vorerkrankungen, deinen Medikamenten-Status, deine Ziele (Kalorien, Makros, Wasser, Schritte) sowie deine Zeitzone.

Die Flexen-App erhebt keine Standortdaten. Es wird keine Standort-Berechtigung angefragt und kein Standort ermittelt oder gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Soweit Profildaten Gesundheitsdaten sind (z. B. Allergien, Vorerkrankungen), gilt zusätzlich Abschnitt 7.

7. Flexen-App: Gesundheits- & Ernährungsdaten

Flexen ist ein KI-Gesundheitscoach. Damit die App funktioniert, verarbeiten wir Gesundheitsdaten im Sinne von Art. 9 DSGVO — aber nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du während des Onboardings erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst (in den App-Einstellungen oder per E-Mail an info@flexen.co).

Dazu gehören — jeweils nur, soweit du die Funktion nutzt:

• Schritte und Schlaf: Mit deiner Freigabe liest die App Schrittzahl und Schlafdaten aus Apple HealthKit (iOS) bzw. Android Health Connect. Manuell in Flexen geloggter Schlaf kann zurück in HealthKit/Health Connect geschrieben werden. Du steuerst den Zugriff jederzeit über die System-Einstellungen deines Geräts.
• Ernährung: Mahlzeiten-Logs, Essensfotos, Rezepte und dein Kühlschrank-Inventar.
• Medikamente: Name, Dosierung, Einnahmeplan und Einnahme-Historie. Die KI greift auf deine Medikamenten-Daten nur mit einer separaten, zusätzlichen Einwilligung zu, die du in der App erteilen und jederzeit widerrufen kannst.
• Journal & Stimmung: Tagebucheinträge und deine Stimmung auf einer Skala von 0–10.
• Zyklus: Wenn du das Zyklus-Tracking nutzt: Beginn der letzten Periode, Zykluslänge und deine Verhütungsmethode (z. B. Pille) zur Berechnung deiner Zyklusphasen.
• Gewicht & Wasser: Gewichtsverlauf und Wasser-Tracking.
• Training: KI-generierte Trainingspläne und Übungen.

Alle diese Daten werden in Cloud Firestore bzw. Cloud Storage (Google, Verarbeitung in der Region europe-west1) gespeichert und mit deiner Firebase-UID verknüpft.

Wichtig: Flexen ist kein Medizinprodukt und ersetzt keine ärztliche Beratung, Diagnose oder Behandlung.

8. Flexen-App: KI-Funktionen (Julio)

Der KI-Coach Julio und weitere KI-Funktionen der App nutzen das KI-Modell Google Gemini (Google Ireland Limited / Google LLC) über Firebase AI bzw. Vertex AI. Dabei werden folgende Inhalte an Google übermittelt:

Je nach verwendeter Gemini-Version kann die KI-Verarbeitung auch in Google-Regionen außerhalb der EU erfolgen, derzeit insbesondere in den USA (z. B. us-central1). Details zu Drittlandtransfers findest du in Abschnitt 15.

• Chat-Nachrichten, die du an Julio sendest, samt dem für die Antwort nötigen Kontext aus deinem Profil.
• Essensfotos zur automatischen Nährwert-Analyse. Vor dem Upload entfernen wir die EXIF-Metadaten (z. B. Aufnahmeort, Geräteinfos) aus dem Bild.
• Sprachaufnahmen (z. B. für Journal-Einträge) zur Transkription. Die Audio-Datei wird nicht dauerhaft gespeichert — gespeichert wird nur das Transkript.

Auf deine Medikamenten-Daten greift die KI nur mit deiner separaten Einwilligung zu (siehe Abschnitt 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der KI-Funktionen als Kern der App); für Gesundheitsdaten deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Hinweis: KI-Ausgaben können Fehler enthalten und sind keine medizinische Beratung. Wende dich bei gesundheitlichen Fragen an ärztliches Fachpersonal.

9. Flexen-App: Kamera-, Foto- und Mikrofon-Berechtigungen

Die App fragt Geräte-Berechtigungen nur an, wenn du die jeweilige Funktion nutzt:

• Kamera: zum Fotografieren von Mahlzeiten und zum Scannen von Barcodes.
• Fotos/Galerie: zum Auswählen vorhandener Essensfotos.
• Mikrofon: für Sprachaufnahmen, die transkribiert werden (siehe Abschnitt 8).
• Gesundheitsdaten / Aktivitätserkennung: zum Lesen von Schritten und Schlaf (siehe Abschnitt 7).
• Benachrichtigungen: für Erinnerungen, die du in der App konfigurierst.

Du kannst jede Berechtigung jederzeit in den System-Einstellungen deines Geräts entziehen.

10. Flexen-App: Externe Lebensmittel- & Medikamenten-Datenbanken

Zur Suche von Nährwerten und Medikamenten greift die App auf externe Nachschlage-Datenbanken zu. Dabei werden — je nach genutzter Funktion — nur die jeweiligen Suchbegriffe bzw. Barcode-Nummern übermittelt, nicht dein Profil:

• OpenFoodFacts (Open Food Facts, Frankreich) — Wenn du einen Lebensmittel-Barcode scannst, wird ausschließlich die Barcode-Nummer des Produkts übermittelt — keine personenbezogenen Daten und keine Informationen aus deinem Konto. Die Verarbeitung erfolgt in der EU; kein Drittlandtransfer.
• FatSecret Platform API (FatSecret, USA) — Lebensmittel- und Nährwert-Datenbank. Die Anfrage läuft über unseren Server (Cloud Function in der EU, Region europe-west1); an FatSecret wird nur der Lebensmittel-Suchbegriff weitergegeben, nicht deine Nutzer-ID. Soweit dabei ein Transfer in die USA stattfindet, stützen wir diesen auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• USDA FoodData Central (U.S. Department of Agriculture, USA) — staatliche Lebensmittel- und Nährwert-Datenbank. Die Anfrage läuft ebenfalls über unseren Server (Cloud Function in der EU); übermittelt wird nur der Lebensmittel-Suchbegriff, nicht deine Nutzer-ID.
• NLM RxTerms / RxNav (U.S. National Library of Medicine, USA) — Medikamenten-Datenbank für die Suche nach Medikamentennamen. Die Anfrage läuft über unseren Server-Proxy (Cloud Function in der EU); an NLM wird nur der Medikamenten-Suchbegriff weitergegeben, nicht deine Nutzer-ID oder deine Geräte-IP. Es kann ein Drittlandtransfer in die USA stattfinden.

Rechtsgrundlage für diese Nachschlage-Funktionen ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der jeweiligen Funktion); soweit Medikamenten-Suchbegriffe als Gesundheitsdaten betroffen sind, deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

11. Flexen-App: Käufe

Abonnements und Einmal-Käufe (Flexen Monthly, Flexen Yearly mit 7-tägiger Testphase, Flexen Lifetime) werden vollständig über den Apple App Store bzw. Google Play abgewickelt. Die Zahlungsabwicklung erfolgt ausschließlich durch Apple bzw. Google — wir erhalten keine Zahlungsdaten (keine Kreditkarten- oder Kontodaten), sondern nur die Information über deinen Abo-Status. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für die Datenverarbeitung durch Apple und Google gelten deren Datenschutzerklärungen.

12. Flexen-App: Crash-Berichte (Crashlytics)

Zur Erkennung und Behebung von App-Abstürzen nutzen wir Firebase Crashlytics (Google). Dabei werden Diagnosedaten verarbeitet (z. B. Absturz-Zeitpunkt, Gerätemodell, OS-Version, App-Version, Stacktrace). Wir reichern Crash-Berichte nicht mit persönlichen Inhalten an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen und fehlerfreien App).

13. Flexen-App: Analyse (PostHog)

Aktuell ist in der Flexen-App keine Nutzungsanalyse aktiv. Es verlassen keine Analyse-Daten dein Gerät.

Sofern wir die Nutzungsanalyse künftig aktivieren, gilt: Wir nutzen dafür PostHog (PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA) — ausschließlich mit deiner ausdrücklichen Einwilligung und mit Datenverarbeitung auf EU-Servern in Frankfurt, Deutschland. Soweit dabei Drittlandtransfers oder Zugriffe aus den USA stattfinden, stützen wir diese auf geeignete Garantien, insbesondere das EU-US Data Privacy Framework und EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Funktion ist standardmäßig deaktiviert (Opt-in) und kann in den App-Einstellungen unter „Anonyme Nutzungsstatistiken“ jederzeit aktiviert oder widerrufen werden.

Zweck (sofern aktiviert): Verbesserung der App, Fehlererkennung, Verständnis welche Funktionen genutzt werden, Messung der Nutzerbindung.

Verarbeitete Daten (sofern aktiviert):

• Ereignis-Metadaten (z. B. „Mahlzeit geloggt“, „Workout abgeschlossen“), ohne Inhalt der Mahlzeit oder des Workouts
• Bildschirmaufrufe und Tab-Wechsel
• Geräte- und Betriebssystem-Informationen (Modell, OS-Version, Sprache)
• Eine pseudonyme Nutzer-ID (Firebase-UID) zur Zuordnung von Ereignissen

Was wir ausdrücklich NICHT erfassen: Inhalte deiner Mahlzeiten, Chat-Nachrichten mit Julio, Gewichtswerte, Schritte, Schlafdaten oder andere Gesundheitsparameter.

Auftragsverarbeitung: Vor einer Aktivierung schließen wir mit PostHog einen Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO. Datenschutzerklärung von PostHog: posthog.com/privacy.

14. Flexen-App: Freunde-Funktion

Die Freunde-Funktion ist opt-in: Sie wird nur aktiv, wenn du eine Freundschaftsanfrage sendest oder annimmst. Bestätigte Freunde sehen einen Aktivitäts-Überblick von dir: Streak, Tages-Schritte, Tages-Kalorien, Wasser, Stimmungs-Index, Workout-Status und wann du zuletzt aktiv warst. Detaildaten (z. B. einzelne Mahlzeiten, Journal-Einträge, Medikamente) werden nicht geteilt.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für enthaltene Gesundheitswerte Art. 9 Abs. 2 lit. a DSGVO). Du kannst Freundschaften jederzeit beenden — dann endet auch das Teilen deiner Aktivitätsdaten.

15. Empfänger & Drittlandtransfer

Wir setzen folgende Dienstleister (Auftragsverarbeiter bzw. eigenständige Verantwortliche) ein:

• Google Ireland Limited / Google LLC — Firebase Authentication, Cloud Firestore, Cloud Storage, Cloud Functions (Region europe-west1), Firebase AppCheck, Crashlytics sowie Firebase AI / Vertex AI (Gemini) für die KI-Funktionen.
• OpenFoodFacts (Frankreich) — Produktdaten beim Barcode-Scan (nur Barcode-Nummer, siehe Abschnitt 10).
• FatSecret (USA) und USDA FoodData Central (USA) — Lebensmittel-/Nährwert-Datenbanken, jeweils über unseren Server-Proxy in der EU und nur mit dem Suchbegriff (siehe Abschnitt 10).
• U.S. National Library of Medicine (NLM RxTerms / RxNav) (USA) — Medikamenten-Suche; Abruf über unseren EU-Server-Proxy mit Suchbegriff, ohne Nutzer-ID und ohne deine Geräte-IP (siehe Abschnitt 10).
• Apple / Google — Abwicklung von Käufen und Abonnements (siehe Abschnitt 11).
• PostHog Inc. — nur sofern die Nutzungsanalyse aktiviert ist (siehe Abschnitt 13).

Die Verarbeitung erfolgt vorrangig in der EU (Region europe-west1). Soweit Google-Dienste Daten in die USA übermitteln, stützt sich der Transfer auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie auf das EU-US Data Privacy Framework, unter dem Google zertifiziert ist (Stand: 12. Juni 2026). Mit Google besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Für die in Abschnitt 10 genannten Lebensmittel- und Medikamenten-Datenbanken (FatSecret, USDA FoodData Central, NLM RxTerms / RxNav) können Daten in die USA übermittelt werden. Wir minimieren diese Übermittlungen, indem Suchanfragen ohne Nutzer-ID über unseren EU-Server-Proxy laufen.

16. Speicherdauer & Löschung

Deine App-Daten speichern wir, solange dein Konto besteht. Wenn du dein Konto löschst, werden deine personenbezogenen Daten aus unseren aktiven Systemen gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Dazu gehören insbesondere Profil, Mahlzeiten- und Tages-Logs, Journal-Einträge, KI-Chats, Trainingspläne, Medikamente, Zyklusdaten, Rezepte, Kühlschrank-Inventar, Gewichtsverlauf, Erfolge/Achievements, Wochen-Zusammenfassungen, Aktivitäts-Logs und -Snapshots, Freundschafts-Daten (beidseitig), Datenexporte, hochgeladene Bilder sowie dein Anmelde-Konto. Backups werden nach spätestens 30 Tagen überschrieben.

So löschst du dein Konto:

• In der App: Einstellungen → Konto → „Konto löschen“ (mit Bestätigungsdialog) — die Löschung wird unmittelbar angestoßen.
• Per E-Mail: an info@flexen.co — wir löschen dein Konto innerhalb von 30 Tagen.

Eine Schritt-für-Schritt-Anleitung findest du unter flexen.co/de/konto-loeschen.

17. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO), insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit

Eine erteilte Einwilligung (z. B. für Gesundheitsdaten oder die KI-Nutzung deiner Medikamenten-Daten) kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Wende dich hierzu an: info@flexen.co

18. Externe Links

Diese Website verlinkt auf den Apple App Store und Google Play Store. Für die Datenverarbeitung durch Apple und Google gelten deren jeweilige Datenschutzerklärungen.

19. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unserer Dienste anzupassen. Die jeweils aktuelle Version findest du stets auf dieser Seite.

Stand: 12. Juni 2026 (Version 2.0)