Diese Erklärung beschreibt, welche personenbezogenen Daten Bitewise verarbeitet, zu welchen Zwecken und auf welcher Rechtsgrundlage. Bitewise ist eine private Anwendung in einer geschlossenen Pilotphase, betrieben für einen begrenzten Nutzerkreis (Familie und Freunde des Betreibers). Eine öffentliche Registrierung ist nicht möglich.
Chris Hämmerle
Frastafedner Strasse 35
6820 Frastanz
Österreich
E-Mail: chris.haemmerle@outlook.com
Es ist kein Datenschutzbeauftragter bestellt, da die Voraussetzungen nach Art. 37 DSGVO nicht erfüllt sind. Anfragen zum Datenschutz richten Sie bitte an obige E-Mail-Adresse.
Zweck: Authentifizierung und Zuordnung der Profildaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung der Anwendung).
Zweck: Personalisierung der Empfehlungen und Berechnung von Energiebedarf.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und, soweit Gesundheitsdaten betroffen sind, Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung in besondere Kategorien personenbezogener Daten).
Sofern Sie aktiv eine Verbindung zu einem Drittanbieter herstellen, ruft Bitewise von diesem die folgenden Daten ab:
| Anbieter | Datenkategorien |
|---|---|
| Strava (sofern verbunden) | Aktivitäten (Sportart, Dauer, Distanz, Kalorien, Herzfrequenz-Werte, Höhenmeter, Zeitpunkt) |
| Garmin (sofern verbunden, geplant) | Tägliche Gesundheitsmetriken (Ruhepuls, HRV, Schlaf, Stress, Body Battery, Atemfrequenz, Schritte, aktive Kalorien, SpO2), Aktivitätsdetails (FIT-Dateien) |
Zweck: Korrelation der Aktivitäts- und Gesundheitsdaten mit Ernährungsdaten zur Erstellung personalisierter Empfehlungen.
Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung). Die Verbindung kann jederzeit widerrufen werden, was die laufende Datenübertragung beendet.
Zweck: Ernährungsprotokollierung ohne manuelle Eingabe; visuelle Nachvollziehbarkeit für Sie.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Art. 9 Abs. 2 lit. a DSGVO bei gesundheitsbezogener Auswertung.
Bitewise generiert auf Basis der oben genannten Daten Textempfehlungen und versendet diese als
E-Mail (Wochenrückblick und einzelne Hinweise). Die generierten Texte sowie Ihre Reaktion darauf
werden gespeichert, um Wiederholungen zu vermeiden und die Tonalität abzustimmen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 9 Abs. 2 lit. a DSGVO.
Beim Aufruf der Anwendung werden technische Daten verarbeitet (IP-Adresse, User-Agent, Zeitstempel, aufgerufener Pfad). Diese Logs werden nach maximal 14 Tagen gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit).
| Empfänger | Funktion | Sitz |
|---|---|---|
| Authentik (selbst gehostet) | Authentifizierung | VPS Deutschland (Contabo) |
| Google LLC (optional, OAuth-Login) | Identitätsbestätigung über Google-Konto | USA |
| Strava, Inc. (sofern verbunden) | Bereitstellung Aktivitätsdaten | USA |
| Garmin Ltd. (sofern verbunden) | Bereitstellung Gesundheits- und Aktivitätsdaten | USA / Schweiz |
| OpenRouter (KI-Gateway) | Bildanalyse und Texterzeugung | USA |
| Resend, Inc. | Versand transaktionaler E-Mails (Wochenrückblick, Coach-Hinweise) | USA / EU |
Die Datenbank, in der Profil- und abgeleitete Gesundheitsdaten gespeichert sind, läuft auf einem vom Verantwortlichen betriebenen Server in einem Rechenzentrum innerhalb des EU/EWR-Raums. Eine Übermittlung der gespeicherten Daten an Dritte über die oben genannten Verarbeitungsvorgänge hinaus erfolgt nicht.
Bei Aufrufen der KI-, E-Mail-, Strava- und Garmin-Schnittstellen werden Daten in die USA übermittelt. Diese Übermittlungen stützen sich auf den EU-US Data Privacy Framework-Angemessenheitsbeschluss bzw. auf Standardvertragsklauseln nach Art. 46 DSGVO. Welche genau zur Anwendung kommt, hängt vom jeweiligen Anbieter und Zertifizierungsstatus ab.
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen die Verarbeitung. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
Es findet keine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.
Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständige Behörde in Österreich: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien (dsb.gv.at).
Bitewise setzt keine Tracking-, Werbe- oder Analyse-Cookies ein. Zur Aufrechterhaltung des Login-Zustands speichert die Anwendung den Authentifizierungs-Token (Access-Token und Refresh-Token) im Local Storage Ihres Browsers. Diese Token werden ausschließlich von der Bitewise-Anwendung selbst gelesen und beim Abmelden bzw. nach Ablauf gelöscht.
Bei wesentlichen Änderungen werden Sie informiert und gegebenenfalls erneut um Einwilligung
gebeten. Die jeweils gültige Version ist unter /privacy abrufbar.
This policy describes which personal data Bitewise processes, for which purposes, and on which legal basis. Bitewise is a private application in a closed pilot phase, operated for a limited group of users (family and friends of the operator). Public registration is not available.
Chris Hämmerle
Frastafedner Strasse 35
6820 Frastanz
Austria
Email: chris.haemmerle@outlook.com
No data protection officer has been appointed, as the criteria of Art. 37 GDPR are not met. Privacy-related inquiries should be sent to the email above.
Purpose: Authentication and account binding.
Legal basis: Art. 6(1)(b) GDPR (performance of contract).
Purpose: Personalised recommendations and energy-needs computation.
Legal basis: Art. 6(1)(a) GDPR (consent), and where health data is involved, Art. 9(2)(a) GDPR (explicit consent for special-category data).
If you actively connect a third-party provider, Bitewise retrieves the following data:
| Provider | Data categories |
|---|---|
| Strava (if connected) | Activities (sport type, duration, distance, calories, heart-rate values, elevation gain, timestamp) |
| Garmin (if connected, planned) | Daily wellness metrics (resting heart rate, HRV, sleep, stress, Body Battery, respiration, steps, active calories, SpO2), activity details (FIT files) |
Purpose: Correlating activity and wellness signals with nutrition data to produce personalised recommendations.
Legal basis: Art. 9(2)(a) GDPR (explicit consent). The connection can be revoked at any time, terminating ongoing data transfers.
Purpose: Nutrition logging without manual data entry; visual traceability for you.
Legal basis: Art. 6(1)(a) GDPR (consent); Art. 9(2)(a) GDPR for any health-related interpretation.
Bitewise generates text recommendations from the data above and delivers them via email (weekly
recap and individual prompts). Generated texts and your responses are stored to avoid repetition and
to tune tone.
Legal basis: Art. 6(1)(b) and Art. 9(2)(a) GDPR.
When you use the application, technical data is processed (IP address, user agent, timestamp, requested path). Logs are deleted after no more than 14 days.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in operation and security).
| Recipient | Function | Location |
|---|---|---|
| Authentik (self-hosted) | Authentication | VPS in Germany (Contabo) |
| Google LLC (optional OAuth login) | Identity assertion via Google account | USA |
| Strava, Inc. (if connected) | Activity data provider | USA |
| Garmin Ltd. (if connected) | Health and activity data provider | USA / Switzerland |
| OpenRouter (AI gateway) | Image analysis and text generation | USA |
| Resend, Inc. | Transactional email delivery (weekly recap, coach prompts) | USA / EU |
The database holding profile and derived wellness data runs on a server operated by the controller, in a data centre within the EU/EEA. No data transfers occur beyond the processing operations listed above.
Calls to the AI, email, Strava, and Garmin APIs transfer data to the USA. These transfers rely on the EU-US Data Privacy Framework adequacy decision and/or on Standard Contractual Clauses pursuant to Art. 46 GDPR, depending on the provider's certification status.
You have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20), and objection (Art. 21). Consent given may be withdrawn at any time with effect for the future (Art. 7(3) GDPR).
No solely automated decision-making within the meaning of Art. 22 GDPR takes place.
You have the right to lodge a complaint with a supervisory authority. The competent authority in Austria is: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Vienna (dsb.gv.at).
Bitewise uses no tracking, advertising, or analytics cookies. To maintain your login state, the application stores authentication tokens (access and refresh tokens) in your browser's local storage. These tokens are read only by the Bitewise application itself and are removed on logout or expiry.
You will be notified of material changes and, where required, asked for renewed consent. The current
version is always available at /privacy.