Dies ist die rechtsverbindliche deutsche Fassung. Stand: 14. Juni 2026.

Datenschutzerklärung für die Calist‑App

Mit dieser Datenschutzerklärung informieren wir Sie gemäß Art. 13 und Art. 14 der Datenschutz‑Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir im Zusammenhang mit der mobilen Anwendung „Calist“ (nachfolgend „App“) verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht, an wen Daten weitergegeben werden, wie lange wir sie speichern und welche Rechte Ihnen zustehen.

Calist ist eine App für kalisthenik‑basiertes Training und Ernährung. Ein zentrales Gestaltungsprinzip von Calist ist Datensparsamkeit: Der ganz überwiegende Teil Ihrer Trainings‑, Körper‑ und Ernährungsdaten verbleibt ausschließlich lokal auf Ihrem Gerät und wird niemals an uns oder Dritte übertragen (siehe näher Abschnitt 4 und Abschnitt 9). Personenbezogene Daten verlassen Ihr Gerät nur in den ausdrücklich benannten Fällen, insbesondere bei der KI‑gestützten Mahlzeitenanalyse, bei der optionalen Anmeldung mit Apple sowie beim Abschluss eines Abonnements.

Diese Datenschutzerklärung ergänzt unser Impressum (Anbieterkennzeichnung) und unsere Nutzungsbedingungen. Den dort enthaltenen Hinweis, dass Calist ein allgemeines Fitness‑ und Wellnessangebot und kein Medizinprodukt ist, finden Sie auch in Abschnitt 16 dieser Erklärung.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und Diensteanbieter im Sinne des § 5 Digitale‑Dienste‑Gesetz (DDG) ist:

Finn Klapper
Amrumer Str. 16, Apartment 57
13353 Berlin
E‑Mail: finn.klapper77@gmail.com
Einzelunternehmer (keine Eintragung im Handelsregister)

Für alle Anliegen und Anfragen zum Datenschutz sowie zur Ausübung Ihrer Rechte können Sie sich unter den vorstehenden Kontaktdaten, insbesondere per E‑Mail an finn.klapper77@gmail.com, an uns wenden.

1.1 Datenschutzbeauftragter und EU‑Vertreter

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und haben keinen bestellt. Die Voraussetzungen des § 38 BDSG (in der Regel ständige Beschäftigung von mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten) sind nicht erfüllt. Da der Verantwortliche in Deutschland und damit in der Europäischen Union niedergelassen ist, ist auch kein Vertreter nach Art. 27 DSGVO erforderlich.

2. Überblick: Welche Daten verbleiben auf dem Gerät und welche werden an Server übertragen

Wir unterscheiden grundsätzlich zwei Kategorien der Datenhaltung:

Nur auf dem Gerät („on‑device“): Diese Daten werden ausschließlich lokal im Speicher Ihres Geräts (in einem einzigen JSON‑Dokument über die Systemfunktion „shared preferences“) gespeichert und niemals an unsere Server oder an Dritte übertragen. Dazu zählen insbesondere Ihr Profil und Ihre Körperdaten, alle abgeleiteten Tages‑ und Nährstoffziele, Ihre Kraft‑, Trainings‑, Skill‑, Ernährungs‑, Hydrations‑ und Lauf‑Protokolle sowie Ihr Wochenziel und Ihr Fortschritt (XP/Level/Streak). Über diese Daten haben ausschließlich Sie auf Ihrem Gerät die Kontrolle; wir besitzen hiervon keine Kopie.
Auf Servern (serverseitig): Nur wenige Daten werden serverseitig verarbeitet, nämlich eine anonyme Nutzerkennung (UUID), bei optionaler Anmeldung mit Apple zusätzlich Ihre E‑Mail‑Adresse und Ihr Name, technische Abrechnungs‑ bzw. Nutzungszähler der KI‑Mahlzeitenanalyse („ai_usage“), Sitzungs‑ und Sicherheitsmetadaten sowie Abonnement‑ und Berechtigungsdaten bei unserem Abrechnungsdienstleister. Das Mahlzeitenfoto selbst wird hierbei nur vorübergehend für die Dauer der Analyse durchgeleitet und nicht bei uns gespeichert (siehe Abschnitt 5).

Diese Unterscheidung erläutern wir bei den einzelnen Verarbeitungstätigkeiten jeweils konkret.

3. Anonyme Nutzerkennung (anonyme Supabase‑Sitzung)

Damit Sie die KI‑gestützte Mahlzeitenanalyse nutzen können und damit wir die Nutzung pro Nutzer begrenzen (Tageskontingent) und Missbrauch sowie unverhältnismäßige Kosten verhindern können, legt die App bei der erstmaligen Nutzung der Mahlzeitenanalyse automatisch eine anonyme Sitzung bei unserem Dienstleister Supabase an. Eine Anmeldung ist hierfür nicht erforderlich.

Verarbeitete Daten: zufällig erzeugte Nutzerkennung (UUID); Sitzungs‑ und Aktualisierungs‑Token (JWT); ein Kennzeichen „anonym“; sowie technische Sitzungs‑ und Sicherheitsmetadaten, die vom Authentifizierungsdienst (Supabase GoTrue) verwaltet werden, insbesondere IP‑Adresse, User‑Agent und Zeitstempel.
Speicherort: Server (Supabase).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die Kennung ist erforderlich, um die von Ihnen angeforderte Analyse bereitzustellen und das nutzerbezogene Kontingent zu führen) sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Missbrauchs‑ und Kostenkontrolle sowie – hinsichtlich der IP‑Adresse – in der Gewährleistung der Sicherheit des Dienstes.
Speicherdauer: bis zur Löschung des Kontos in der App. Eine automatische Löschung erfolgt nicht; melden Sie sich später mit Apple an, wird die anonyme Kennung nicht in Ihr Apple‑Konto überführt, sondern bleibt als verwaiste Kennung bestehen, bis sie gelöscht wird (vgl. Abschnitt 4.2 und 13). Sie können die Löschung jederzeit über die in Abschnitt 13 beschriebenen Wege oder durch Kontaktaufnahme unter finn.klapper77@gmail.com veranlassen.

4. Optionale Anmeldung mit Apple („Sign in with Apple“)

Sie können – müssen aber nicht – ein Konto durch die Anmeldung mit Apple anlegen. Diese Anmeldung ist vollständig optional und ist insbesondere keine Voraussetzung, um die App einzurichten oder zu nutzen; ohne Anmeldung bleibt Ihre Sitzung anonym (siehe Abschnitt 3).

4.1 Verarbeitete Daten und Rechtsgrundlage

Verarbeitete Daten: ein von Apple ausgestelltes Identitäts‑Token (JWT, nur vorübergehend verarbeitet); die Supabase‑Nutzerkennung; Ihre E‑Mail‑Adresse; Ihr vollständiger Name (nur bei der erstmaligen Zustimmung übermittelt); sowie ein kryptografischer Einmalwert (SHA‑256‑Nonce, nur vorübergehend). Ihre E‑Mail‑Adresse kann je nach Ihrer Auswahl im Apple‑Dialog entweder Ihre tatsächliche E‑Mail‑Adresse oder eine anonymisierte Weiterleitungsadresse von Apple (Endung „@privaterelay.appleid.com“) sein.
Speicherort: Server (Supabase; E‑Mail und Apple‑Identitätsdaten in den Authentifizierungstabellen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anlegen und Führen des von Ihnen gewünschten Kontos) in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Sie steuern im Apple‑Dialog selbst, welche Daten Sie an uns weitergeben).
Speicherdauer: bis zur Löschung des Kontos; die Token werden regelmäßig erneuert.

Apple ist hinsichtlich der Anmeldefunktion eigenständig Verantwortlicher (siehe Abschnitt 7 und die Datenschutzhinweise von Apple). Ihre im Apple‑Dialog erteilte Zustimmung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), unter anderem durch Löschung des Kontos in der App; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

4.2 Hinweis zur Kontoverknüpfung

Eine zuvor bestehende anonyme Sitzung (Abschnitt 3) wird bei der Anmeldung mit Apple nicht in das Apple‑Konto überführt. Die anonyme Kennung und etwaige damit verknüpfte Nutzungszähler bleiben daher zunächst getrennt bestehen. Sie können die Löschung dieser Daten über die Kontolöschung bzw. durch Kontaktaufnahme mit uns veranlassen.

5. KI‑gestützte Mahlzeitenanalyse („Meal Scan“)

Mit der Mahlzeitenanalyse können Sie ein Foto einer Mahlzeit aufnehmen oder aus Ihrer Fotomediathek auswählen, um eine geschätzte Nährwertangabe (z. B. Lebensmittel, Gramm, Kalorien und Makronährstoffe) zu erhalten. Die Funktion gliedert sich in mehrere Schritte mit unterschiedlicher Datenverarbeitung.

5.1 Vorab‑Erkennung auf dem Gerät (Google ML Kit)

Bevor ein Foto übertragen wird, läuft eine lokale Objekterkennung über den Sucher Ihrer Kamera. Hierbei werden Kamerabilder sowie daraus abgeleitete Helligkeits‑ und Begrenzungsrahmen‑Geometrien ausschließlich im Arbeitsspeicher Ihres Geräts verarbeitet. Diese Vorab‑Erkennung erfolgt vollständig auf dem Gerät über eine eingebettete Bibliothek (Google ML Kit); es werden hierbei keine Daten an uns oder an Dritte übertragen und nichts dauerhaft gespeichert. Mangels Datenübermittlung ist Google ML Kit insoweit kein Empfänger im Sinne der DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion) sowie Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer gerätelokalen Erkennungshilfe für eine bessere Bildauswahl).
Speicherdauer: vorübergehend pro Einzelbild; keine Speicherung.

5.2 Fotoanalyse

Nachdem Sie ein Standbild bestätigt haben, wird das Foto auf maximal 768 Pixel verkleinert, als JPEG (Qualität ca. 80) neu codiert und an unsere Server‑Funktion („Edge Function“ analyze‑meal) bei Supabase und von dort an den KI‑Dienst OpenRouter sowie weiter an ein KI‑Modell übermittelt, das die Nährwerte schätzt. Durch die Neucodierung als JPEG werden zudem regelmäßig die in der Originaldatei enthaltenen Metadaten (z. B. EXIF‑Aufnahmedaten) entfernt.

Verarbeitete Daten: das verkleinerte Mahlzeitenfoto (als JPEG/Base64), Ihre Geräte‑Spracheinstellung sowie Ihre Nutzerkennung (aus dem Token).
Speicherort und Speicherdauer: Das Foto wird von uns nicht gespeichert. Wir betreiben keinen Speicher‑Bucket für Bilder; die Server‑Funktion schreibt das Bild weder in eine Datenbank noch in einen Speicher und auch nicht in Protokolldateien (im Fehlerfall wird ausschließlich der HTTP‑Status sowie ein Textausschnitt von höchstens 500 Zeichen protokolliert, niemals das Bild). Das Foto wird nur für die Dauer der Analyse durchgeleitet und anschließend nicht bei uns aufbewahrt. Die Verarbeitung beim KI‑Anbieter (OpenRouter und das nachgelagerte Modell) erfolgt im Rahmen der Anfrage; eine etwaige Aufbewahrung beim KI‑Anbieter richtet sich nach dessen eigenen Bedingungen und unterliegt nicht unserer Kontrolle. Eine Konfiguration des KI‑Anbieters, die jegliche Speicherung der Inhalte ausschließt („Zero Data Retention“), ist derzeit nicht aktiviert; wir haben daher keinen Einfluss darauf, ob und wie lange der KI‑Anbieter das Bild im Rahmen der Anfrage vorhält.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von Ihnen angeforderte Analyse) sowie Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), da ein Mahlzeitenfoto und die daraus geschätzten Ernährungsdaten vorsorglich als gesundheitsbezogene Daten behandelt werden und Rückschlüsse auf Ihre Ernährungsweise zulassen können. Vor der erstmaligen Nutzung der Funktion holen wir Ihre gesonderte, ausdrückliche und nicht mit anderen Erklärungen gebündelte Einwilligung ein und blenden einen Hinweis ein, dass Ihr Foto zur Schätzung an einen KI‑Dienst (auch in den USA) gesendet, von uns nicht gespeichert wird und die Schätzungen nur ungefähr und keine medizinische Beratung sind. Diese Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Abschnitt 17.1).
Drittlandübermittlung: Die Übermittlung erfolgt unter anderem in die USA; zu den Empfängern und den Garantien siehe Abschnitte 7 und 8.

Hinweis: Fotografieren Sie nach Möglichkeit nur das Lebensmittel und vermeiden Sie Gesichter oder sonstige identifizierende Details auf den Mahlzeitenfotos.

5.3 Nachfrage zur Präzisierung („Refine“)

Im Anschluss an eine Analyse kann die App Ihnen klärende Fragen (Multiple‑Choice) stellen, um die Schätzung zu verfeinern. Hierbei wird kein Foto erneut übermittelt. Übertragen werden nur die vorherige Analyse als Text (Lebensmittelnamen, Gramm, Makros, Fragen), Ihre Antworten, Ihre Spracheinstellung und Ihre Nutzerkennung. Diese Daten werden nicht gespeichert; lediglich ein technischer Verbrauchs‑/Kostendatensatz wird wie in Abschnitt 6 beschrieben protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; hinsichtlich der Drittlandübermittlung gilt das zu Abschnitt 5.2 Gesagte.

5.4 Automatisierte Verarbeitung und Transparenz (Art. 13 Abs. 2 lit. f DSGVO)

Die Nährwertschätzung erfolgt durch ein KI‑Modell (über OpenRouter; standardmäßig Google Gemini 2.5 Flash, alternativ konfigurierbar z. B. Anthropic Claude Haiku). Das Modell wertet das Foto aus und gibt je Lebensmittel geschätzte Gramm‑ und Makronährwerte, eine Konfidenzangabe sowie gegebenenfalls Rückfragen zurück. Die Ergebnisse sind nur ungefähr, von Ihnen jederzeit bearbeitbar und werden Ihnen lediglich als Vorschlag angezeigt; eine menschliche Kontrolle bleibt also stets bei Ihnen. Es handelt sich nicht um eine ausschließlich automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 Abs. 1 DSGVO. Die Schätzungen stellen keine medizinische oder diätetische Beratung dar (siehe Abschnitt 16).

6. Nutzungs‑ und Kontingentabrechnung der KI‑Funktion („ai_usage“)

Zur Begrenzung der Nutzung pro Nutzer (Tageslimit), zur Einhaltung eines Gesamtbudgets und zur Missbrauchsvermeidung führen wir technische Verbrauchsdatensätze.

Verarbeitete Daten: Nutzerkennung; Zweck (Mahlzeitenanalyse bzw. Präzisierung); verwendetes Modell; Anzahl der Eingabe‑/Ausgabe‑/Gesamt‑Token; geschätzte Kosten; Erfolgskennzeichen; Zeitstempel. Es werden ausdrücklich keine Bilder, keine Mahlzeiteninhalte, keine Makronährwerte und keine Körperdaten gespeichert.
Speicherort: Server (Tabelle public.ai_usage bei Supabase).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Missbrauchsvermeidung, der Durchsetzung des nutzerbezogenen Tageslimits und der Einhaltung unseres Gesamtbudgets.
Speicherdauer: Diese Datensätze werden für die Dauer von höchstens 12 Monate aufbewahrt; spätestens werden sie mit der Löschung Ihres Kontos gelöscht.

Eine rein betriebliche Konfiguration (Tabelle ai_config: Modell, Tageslimit, maximale Token, Gesamtbudget) enthält keine personenbezogenen Daten.

7. Empfänger und Auftragsverarbeiter (Sub‑Prozessoren)

Wir geben personenbezogene Daten nur an die nachfolgend genannten Empfänger weiter. Mit unseren Auftragsverarbeitern bestehen bzw. werden vor der produktiven Nutzung Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Eine analyse‑, werbe‑, tracking‑ oder absturzbezogene Weitergabe an Dritte findet nicht statt; die App enthält keine Analyse‑, Crash‑Reporting‑, Werbe‑ oder Tracking‑Dienste, keine Werbe‑ID/„App Tracking Transparency“, keine Standort‑, HealthKit‑, Kontakt‑ oder Mikrofonzugriffe.

Empfänger / Stelle	Rolle	Übermittelte Daten	Sitz / Übermittlung
Supabase, Inc. (USA)	Auftragsverarbeiter (Art. 28 DSGVO): Datenbank, Authentifizierung (anonyme Sitzung und Anmeldung mit Apple), Server‑Funktionen analyze‑meal und delete‑account	Nutzerkennung; bei Anmeldung mit Apple E‑Mail und Name; Sitzungs‑/Sicherheitsmetadaten (IP‑Adresse, User‑Agent); Nutzungszähler ai_usage; vorübergehend durchgeleitetes Mahlzeitenfoto	USA / Drittland; Garantien über EU‑Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) gemäß Auftragsverarbeitungsvertrag von Supabase. Eine EU‑Region (z. B. Frankfurt) ist wählbar.
OpenRouter, Inc. (USA)	Auftragsverarbeiter / Sub‑Prozessor (über die Server‑Funktion eingebunden): KI‑Vermittlungsdienst für die Nährwertschätzung	verkleinertes Mahlzeitenfoto und Spracheinstellung, nur vorübergehend in der Anfrage	USA / Drittland (Art. 44 ff. DSGVO). Die Übermittlung stützt sich derzeit auf Art. 49 Abs. 1 lit. b DSGVO (Erforderlichkeit zur Durchführung der von Ihnen angeforderten Analyse); zusätzliche geeignete Garantien werden eingerichtet (siehe Abschnitt 8). Eine etwaige Speicherung von Inhalten richtet sich nach den Bedingungen des Anbieters.
Google LLC und/oder Anthropic, PBC (USA)	nachgelagerter KI‑Modellanbieter (über OpenRouter erreicht): führt das Bildmodell aus. Das jeweils eingesetzte Modell kann sich ändern; maßgeblich ist die in der App genannte aktuelle Konfiguration.	das Mahlzeitenfoto und die Eingabeaufforderung	USA / Drittland; Übermittlung nach Maßgabe von Abschnitt 8; Aufbewahrung nach den Bedingungen des jeweiligen Anbieters
RevenueCat, Inc. (USA)	Auftragsverarbeiter (Art. 28 DSGVO): Verwaltung des In‑App‑Abonnements / Prüfung der Berechtigung	pseudonyme Nutzer‑ID (nach Anmeldung = Supabase‑Kennung, sonst anonyme RevenueCat‑Kennung) sowie Kauf‑/Abonnement‑ und SDK‑Plattformdaten; keine Namen, E‑Mail‑ oder Zahlungsdaten	USA / Drittland; Garantien über EU‑Standardvertragsklauseln (2021/914) gemäß Auftragsverarbeitungsvertrag von RevenueCat
Apple Distribution International Ltd., Hollyhill, Cork, Irland	eigenständiger / getrennter Verantwortlicher (kein Auftragsverarbeiter) für die Anmeldung mit Apple sowie für Zahlungen und Vertrieb über den App Store (Merchant of Record)	bei Anmeldung mit Apple: Name (bearbeitbar), echte oder Weiterleitungs‑E‑Mail, entwicklerbezogene Kennung; bei Zahlungen: Zahlungs‑/Abrechnungsdaten, die Apple erhebt und die uns nicht erreichen	verantwortliche Stelle im EWR ist Apple Irland; es gelten die Datenschutzhinweise von Apple

Die genannten Auftragsverarbeiter setzen ihrerseits weitere Sub‑Prozessoren ein (bei Supabase z. B. Amazon Web Services für die Infrastruktur sowie Google LLC, Fly.io und Sentry). Die jeweils aktuelle Liste der Unterauftragsverarbeiter sowie die Auftragsverarbeitungsverträge finden Sie bei den jeweiligen Anbietern (Supabase, OpenRouter, RevenueCat). Apple ist eigenständig Verantwortlicher; es ist insoweit kein Auftragsverarbeitungsvertrag erforderlich.

8. Drittlandübermittlung (Art. 44 ff. DSGVO)

Im Rahmen der KI‑Mahlzeitenanalyse (Supabase, OpenRouter, nachgelagerter Modellanbieter) sowie der Abonnementverwaltung (RevenueCat, Apple) werden personenbezogene Daten auch in die USA und damit in ein Drittland übermittelt. Die Grundlage dieser Übermittlungen unterscheidet sich je nach Empfänger:

Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO): Mit Supabase und RevenueCat sind die EU‑Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) auf Grundlage der jeweiligen Auftragsverarbeitungsverträge vereinbart.
EU‑US Data Privacy Framework: Soweit ein US‑Empfänger nach dem EU‑US Data Privacy Framework zertifiziert ist, kann sich die Übermittlung zusätzlich auf den entsprechenden Angemessenheitsbeschluss stützen; andernfalls gelten die Standardvertragsklauseln bzw. die nachstehende Erforderlichkeitsgrundlage. Eine pauschale Angemessenheit aller US‑Empfänger nehmen wir nicht an.
Erforderlichkeit für die Vertragserfüllung (Art. 49 Abs. 1 lit. b DSGVO): Die Übermittlung des Mahlzeitenfotos an den KI‑Vermittlungsdienst OpenRouter und das nachgelagerte Modell erfolgt, um die von Ihnen ausdrücklich angeforderte Analyse durchzuführen, und ist hierfür erforderlich. Für diese Empfänger sind geeignete Garantien im Sinne des Art. 46 DSGVO derzeit noch nicht vollständig eingerichtet; wir arbeiten an deren Abschluss (u. a. Auftragsverarbeitungsvertrag und Standardvertragsklauseln) und an der Aktivierung einer Konfiguration ohne Speicherung der übermittelten Inhalte. Bis dahin stützen wir diese Einzelfall‑Übermittlung auf Art. 49 Abs. 1 lit. b DSGVO. Sie können die Analyse jederzeit unterlassen, wenn Sie diese Übermittlung nicht wünschen.

Die USA gelten nach der Rechtsprechung des Europäischen Gerichtshofs nicht generell als Land mit einem dem EU‑Recht gleichwertigen Datenschutzniveau; insbesondere bestehen weitergehende behördliche Zugriffsmöglichkeiten. Eine Kopie der jeweiligen Garantien bzw. nähere Informationen hierzu können Sie bei uns unter finn.klapper77@gmail.com anfordern.

9. Ausschließlich auf dem Gerät gespeicherte Daten (Profil, Training, Ernährung)

Die folgenden Daten erfassen und nutzen Sie ausschließlich lokal auf Ihrem Gerät. Sie werden niemals an uns oder an Dritte übertragen. Wir besitzen hiervon keine serverseitige Kopie. Soweit es sich um gesundheitsbezogene oder gesundheitsnahe Daten handelt, weisen wir vorsorglich auf Art. 9 DSGVO hin; die Erhebung erfolgt mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), um die Sie vor der erstmaligen Eingabe von Körperdaten gesondert und ungebündelt gebeten werden und die Sie jederzeit widerrufen können (Art. 7 Abs. 3 DSGVO), unter anderem durch Zurücksetzen der App oder Deinstallation.

Profil und Körperdaten (Onboarding): Gewicht, Körpergröße, Alter, Geschlecht (männlich/weiblich/divers); optionaler Name (Freitext); Trainingsziele/Skills; Erfahrungslevel; Trainingstage pro Woche; Sitzungsdauer; Trainingsumgebung/Equipment; Engine‑Einstellungen; Hyrox‑Interesse; Ernährungsziel (Defizit/Erhalt/Aufbau); Erinnerungen; Erstellungszeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Trainings‑/Ernährungsplans) sowie für die Körperdaten Art. 9 Abs. 2 lit. a DSGVO. Die Angabe der Körperdaten ist freiwillig; ohne sie können wir nur eingeschränkt lokale Zielwerte berechnen.
Abgeleitete Gesundheitsziele: errechnete Tagesziele für Kalorien, Eiweiß, Fett, Kohlenhydrate und Wasser. Diese werden laufend neu berechnet und nicht gesondert dauerhaft gespeichert. Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (Ableitung aus Körperdaten).
Kraftwerte: Übungs‑ID, Datum, Wert (Wiederholungen/Sekunden) z. B. für Klimmzüge, Liegestütze, Dips, Hollow Hold. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, vorsorglich Art. 9 Abs. 2 lit. a DSGVO (Rückschluss auf körperliche Leistungsfähigkeit).
Trainings‑/Sitzungsprotokolle einschließlich selbstberichtetem Befinden: Sitzungs‑/Workout‑Kennung, Name, Typ; Datum; Dauer; Wert/Status je Satz; Pausenzeit; XP; sowie das Befinden vor und nach dem Training (Skala 1–5), die wahrgenommene Anstrengung/RPE (1–5) und der Soll‑Ist‑Abgleich (unter/erfüllt/übertroffen). Da Befinden, Anstrengung und RPE subjektive Wohlbefindensindikatoren sind, behandeln wir diese vorsorglich als besondere Kategorie; Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 9 Abs. 2 lit. a DSGVO.
Skill‑Fortschritt: je Skill der höchste erreichte Stufenindex. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Ernährungs‑/Mahlzeitenprotokoll (manuell und gespeicherte KI‑Ergebnisse): Mahlzeiten‑Kennung, Datum, Mahlzeitentyp, Lebensmittel‑/Rezept‑ID oder Freitextname mit Kalorien/Eiweiß/Kohlenhydraten/Fett, Portionen. Das Foto selbst wird nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, vorsorglich Art. 9 Abs. 2 lit. a DSGVO (ein fortlaufendes Ernährungstagebuch kann Essmuster offenbaren).
Hydration: je Tag die gesamte Trinkmenge in Millilitern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Lauf‑/Engine‑Protokolle: Lauf‑Kennung, Datum, Typ, Distanz, Dauer (zur Pace), zugehörige Workout‑ID, Notizen (Freitext). Es werden keine GPS‑ oder Routendaten erfasst (keine Standortberechtigung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, vorsorglich Art. 9 Abs. 2 lit. a DSGVO (Ausdauerleistung).
Wochenziel und Fortschritt: Wochenziel sowie abgeleitete XP, Level und Streak. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer aller vorgenannten Daten: bis zur Deinstallation der App oder bis Sie die App in den Einstellungen zurücksetzen (dabei wird der lokale Datensatz gelöscht). Da diese Daten Ihr Gerät nie verlassen, können wir sie nicht einsehen, exportieren oder löschen; die Kontrolle liegt allein bei Ihnen auf dem Gerät. Sie können diese Daten über die App einsehen und durch das Zurücksetzen der App jederzeit selbst löschen.

10. Abonnement, Zahlungen und Wiederherstellung von Käufen

10.1 Abschluss und Verwaltung des Abonnements

Calist bietet ein kostenpflichtiges Abonnement („Pro“) an, das über den Apple App Store abgewickelt wird. Für die Verwaltung der Berechtigung setzen wir den Dienstleister RevenueCat ein. Die vertraglichen Bedingungen des Abonnements (insbesondere Preis, Laufzeit, automatische Verlängerung, Widerrufsrecht und Kündigung) ergeben sich aus unseren Nutzungsbedingungen sowie aus den Angaben im App Store; diese Datenschutzerklärung beschreibt nur die damit verbundene Datenverarbeitung.

Verarbeitete Daten: RevenueCat‑Nutzer‑ID (nach Anmeldung mit Apple = Supabase‑Kennung, sonst eine anonyme RevenueCat‑Kennung); Status der Berechtigung „Pro“; Kauf‑/Beleg‑/Transaktionsstatus; Kundeninformationen (CustomerInfo); SDK‑Plattformdaten (Betriebssystem‑ und App‑Version, Land). Zahlungs‑, Karten‑ und Abrechnungsdaten erreichen weder die App noch uns noch RevenueCat; diese erhebt ausschließlich Apple.
Speicherort: Server (RevenueCat) und Apple. In der App selbst wird lediglich ein Wahrheitswert („abonniert“) lokal als Offline‑Zwischenspeicher gehalten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Abonnementvertrags).
Speicherdauer: nach den Aufbewahrungsbestimmungen von RevenueCat bzw. Apple.

10.2 Verknüpfung der Kennungen bei RevenueCat

Zur Wiederherstellung von Käufen und zur geräteübergreifenden Fortführung verknüpft RevenueCat die Supabase‑Kennung mit der RevenueCat‑Nutzer‑ID (vor einer Anmeldung mit einer anonymen RevenueCat‑Kennung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Diese Verknüpfung wird durch eine Abmeldung (es wird ein neuer anonymer RevenueCat‑Nutzer angelegt) bzw. durch eine Kontolöschung beeinflusst; sie wird durch die In‑App‑Löschung der Supabase‑Daten nicht automatisch entfernt (siehe Abschnitt 13).

10.3 Käufe wiederherstellen und Abonnement verwalten/kündigen

Auf Ihren Wunsch können frühere App‑Store‑Transaktionen und der Berechtigungsstatus wiederhergestellt werden (Art. 6 Abs. 1 lit. b DSGVO); dabei wird app‑seitig nur der genannte Wahrheitswert aktualisiert. Die Verwaltung oder Kündigung des Abonnements erfolgt über einen Verweis auf die Apple‑Abonnementverwaltung (apps.apple.com/account/subscriptions); hierbei verarbeiten wir selbst keine Daten.

11. Geräteberechtigungen (Kamera und Fotomediathek)

Die App fordert ausschließlich Zugriff auf die Kamera und die Fotomediathek an, und zwar allein zu dem Zweck, ein Mahlzeitenfoto aufzunehmen oder auszuwählen. Die gerätelokale Vorab‑Erkennung sendet nichts (Abschnitt 5.1); übertragen wird ausschließlich das von Ihnen bestätigte, auf maximal 768 Pixel verkleinerte JPEG. Andere Berechtigungen (insbesondere Standort, Mikrofon, Kontakte, HealthKit) werden nicht angefordert.

12. Lokale Speicherung, Cookies und kein Tracking

Die App speichert ausschließlich technisch notwendige Daten lokal auf Ihrem Gerät (über „shared preferences“), die für die Funktion der App erforderlich sind. Es werden keine Cookies zu Analyse‑ oder Werbezwecken, keine Tracking‑Technologien, keine Werbe‑ID und keine „App Tracking Transparency“‑Abfrage eingesetzt. Eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich. Wir verfolgen Sie nicht über Apps oder Websites anderer Unternehmen hinweg.

13. Löschung des Kontos und Umfang der Löschung

Sie können Ihr Konto jederzeit in der App löschen (Bereich „You“ → Konto → Löschen). Dabei werden über unsere Server‑Funktion delete‑account die zu Ihrer Kennung gehörenden Nutzungszähler (ai_usage) sowie der Authentifizierungsdatensatz (Kennung, E‑Mail, Apple‑Identität) endgültig gelöscht; verknüpfte Identitäten und Sitzungen werden hierbei mitgelöscht. Zugleich werden auf dem Gerät die lokalen Daten zurückgesetzt. Dies dient der Erfüllung des Rechts auf Löschung (Art. 17 DSGVO) hinsichtlich der bei Supabase gehaltenen Daten. Die In‑App‑Löschung steht Ihnen auch bei einer rein anonymen Sitzung (ohne Anmeldung mit Apple) zur Verfügung.

Bitte beachten Sie zum Umfang:

Die In‑App‑Löschung entfernt die bei Supabase gehaltenen Daten.
Sie entfernt nicht automatisch den Kundendatensatz bei RevenueCat, das Apple‑seitige Abonnement bzw. das Apple‑Anmelde‑Token sowie etwaige Nutzungszähler einer früheren anonymen Kennung. Eine vollständige Löschung erreichen Sie durch die In‑App‑Löschung in Verbindung mit der Deinstallation/Zurücksetzung der App sowie – auf Wunsch – einer Kontaktaufnahme mit uns zur Löschung des RevenueCat‑Kundendatensatzes.
Eine Abmeldung („Sign‑out“) beendet nur die lokale Sitzung und löst die RevenueCat‑Verknüpfung; der serverseitige Authentifizierungsdatensatz und die E‑Mail bleiben dabei bestehen, und das lokale Profil wird hierbei nicht gelöscht.

Gern unterstützen wir Sie bei der vollständigen Löschung unter finn.klapper77@gmail.com.

14. Speicherdauer im Überblick

Mahlzeitenfoto: von uns nicht gespeichert; nur vorübergehend für die Analyse durchgeleitet; eine etwaige Aufbewahrung beim KI‑Anbieter richtet sich nach dessen Bedingungen.
Anonyme Kennung, Apple‑Konto (Kennung, E‑Mail, Name): bis zur Kontolöschung.
Nutzungszähler ai_usage: höchstens 12 Monate, spätestens bis zur Kontolöschung.
Lokale Geräte‑Daten (Profil, Körper‑, Trainings‑, Ernährungs‑, Lauf‑, Hydrations‑, Skill‑ und Fortschrittsdaten): bis zur Deinstallation oder Zurücksetzung in der App.
Abonnement‑/Berechtigungsdaten: nach den Bestimmungen von RevenueCat bzw. Apple.

15. Erforderlichkeit der Bereitstellung und Folgen der Nichtbereitstellung

Die Nutzung von Calist erfordert grundsätzlich keine Anmeldung. Sie sind nicht verpflichtet, uns personenbezogene Daten bereitzustellen; allerdings hängen einzelne Funktionen von bestimmten Angaben ab:

Ohne ein Mahlzeitenfoto ist keine KI‑Mahlzeitenanalyse möglich.
Ohne Anmeldung mit Apple bleibt Ihr Konto anonym (lediglich der Nutzungszähler wird geführt).
Die Angabe von Körperdaten ist freiwillig; ohne sie können nur eingeschränkt lokale Zielwerte berechnet werden.
Für ein Abonnement sind die von Apple abgewickelten Zahlungsdaten erforderlich, die ausschließlich Apple verarbeitet.

16. Kein medizinisches Angebot

Calist ist ein allgemeines Fitness‑, Wellness‑ und Ernährungsangebot und kein Medizinprodukt. Es dient nicht der Diagnose, Behandlung, Heilung, Linderung, Überwachung oder Verhütung von Krankheiten. Die KI‑Nährwertangaben sind Schätzungen und keine medizinische oder diätetische Beratung; sie ersetzen nicht die Beratung durch eine Ärztin/einen Arzt oder eine Ernährungsfachkraft. Bitte konsultieren Sie vor Änderungen Ihrer Ernährung oder Ihres Trainings eine fachkundige Person, insbesondere bei Vorerkrankungen, in der Schwangerschaft oder bei Essstörungen.

17. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO insbesondere folgende Rechte zu. Bitte beachten Sie, dass wir diese Rechte nur hinsichtlich der von uns serverseitig verarbeiteten Daten ausüben können; die ausschließlich auf Ihrem Gerät gespeicherten Daten (Abschnitt 9) verwalten allein Sie über die App (Einsicht in der App, Export bzw. lokales Zurücksetzen).

Auskunft (Art. 15 DSGVO): über die zu Ihnen verarbeiteten Daten, einschließlich der Empfänger und der Logik einer etwaigen automatisierten Verarbeitung (Art. 15 Abs. 1 lit. h DSGVO).
Berichtigung (Art. 16 DSGVO): unrichtiger oder unvollständiger Daten.
Löschung (Art. 17 DSGVO): insbesondere über die In‑App‑Kontolöschung (Abschnitt 13).
Einschränkung der Verarbeitung (Art. 18 DSGVO).
Datenübertragbarkeit (Art. 20 DSGVO): Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen (insbesondere die Nutzungszähler/Missbrauchsvermeidung sowie die Verarbeitung der IP‑Adresse zu Sicherheitszwecken, Abschnitte 3 und 6), aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.
Keine ausschließlich automatisierte Entscheidung (Art. 22 DSGVO): Eine ausschließlich automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung findet nicht statt (siehe Abschnitt 5.4).

17.1 Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)

Soweit wir Daten aufgrund Ihrer Einwilligung verarbeiten – insbesondere bei der KI‑Mahlzeitenanalyse und den gesundheitsbezogenen/gesundheitsnahen Daten (Art. 9 Abs. 2 lit. a DSGVO) sowie bei der Datenfreigabe im Apple‑Dialog – können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf ist so einfach wie die Erteilung der Einwilligung (z. B. durch Zurücksetzen der App, Beenden der Funktion oder Mitteilung an uns). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

17.2 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz‑Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist die folgende Aufsichtsbehörde (Landesdatenschutzbehörde des Bundeslandes, in dem der Verantwortliche niedergelassen ist):

Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin (www.datenschutz-berlin.de)

Sie können sich jedoch auch an die Aufsichtsbehörde Ihres eigenen Aufenthaltsorts wenden. Bei Fragen hierzu erreichen Sie uns unter finn.klapper77@gmail.com.

18. Kinder und Mindestalter

Calist richtet sich nicht an Kinder. Die App darf nur von Personen genutzt werden, die mindestens 16 Jahre alt sind. Personen unter 16 Jahren dürfen die App nur mit Zustimmung der Träger der elterlichen Verantwortung nutzen (Art. 8 DSGVO; in Deutschland gilt für die Einwilligung in Dienste der Informationsgesellschaft die Altersgrenze von 16 Jahren). Erlangen wir Kenntnis davon, dass wir ohne erforderliche Zustimmung Daten von Kindern verarbeiten, löschen wir diese.

19. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert oder rechtliche bzw. technische Entwicklungen dies erfordern. Es gilt jeweils die in der App bzw. auf unserer Website veröffentlichte aktuelle Fassung.

Stand dieser Datenschutzerklärung: 14. Juni 2026. Bei Fragen zum Datenschutz erreichen Sie uns unter finn.klapper77@gmail.com.

This English version is a convenience translation; the German version prevails. Last updated: 14 June 2026.

Privacy Policy for the Calist App

By means of this Privacy Policy we inform you, in accordance with Articles 13 and 14 of the General Data Protection Regulation (GDPR), about which personal data we process in connection with the mobile application "Calist" (hereinafter the "App"), for which purposes and on which legal basis this takes place, to whom data is disclosed, how long we store it and what rights you are entitled to.

Calist is an app for calisthenics-based training and nutrition. A central design principle of Calist is data minimisation: the overwhelming majority of your training, body and nutrition data remains exclusively on your device, stored locally, and is never transmitted to us or to third parties (see in more detail Section 4 and Section 9). Personal data leaves your device only in the expressly designated cases, in particular for the AI-assisted meal analysis, for the optional Sign in with Apple, and when concluding a subscription.

This Privacy Policy supplements our Legal Notice (provider identification) and our Terms of Use. The notice contained there that Calist is a general fitness and wellness offering and not a medical device is also set out in Section 16 of this Policy.

1. Controller and Contact

The controller within the meaning of Article 4(7) GDPR and the service provider within the meaning of Section 5 of the German Digital Services Act (DDG) is:

Finn Klapper
Amrumer Str. 16, Apartment 57
13353 Berlin
Email: finn.klapper77@gmail.com
Sole proprietor (not entered in a commercial register)

For all matters and enquiries relating to data protection, as well as to exercise your rights, you may contact us using the contact details set out above, in particular by email to finn.klapper77@gmail.com.

1.1 Data Protection Officer and EU Representative

We are not legally required to appoint a data protection officer and have not appointed one. The conditions of Section 38 of the German Federal Data Protection Act (BDSG) (as a rule, the permanent employment of at least 20 persons in the automated processing of personal data) are not met. As the controller is established in Germany and thus within the European Union, no representative pursuant to Article 27 GDPR is required either.

2. Overview: Which Data Remains on the Device and Which Is Transmitted to Servers

We fundamentally distinguish between two categories of data storage:

On the device only ("on-device"): This data is stored exclusively locally in your device's memory (in a single JSON document via the system function "shared preferences") and is never transmitted to our servers or to third parties. This includes, in particular, your profile and body data, all derived daily and nutrient targets, your strength, training, skill, nutrition, hydration and running logs, as well as your weekly goal and your progress (XP/level/streak). You alone, on your device, have control over this data; we hold no copy of it, and we are therefore technically unable to access, view, provide, correct or delete it on your behalf (see Section 9 and Section 17).
On servers (server-side): Only a small amount of data is processed server-side, namely an anonymous user identifier (UUID), and, in the case of the optional Sign in with Apple, additionally your email address and your name, technical billing and usage counters of the AI meal analysis ("ai_usage"), session and security metadata, as well as subscription and entitlement data held by our billing service provider. The meal photo itself is merely passed through temporarily for the duration of the analysis and is not stored by us (see Section 5).

We explain this distinction specifically in relation to each individual processing activity.

3. Anonymous User Identifier (Anonymous Supabase Session)

So that you can use the AI-assisted meal analysis, and so that we can limit usage per user (daily quota) and prevent abuse and disproportionate costs, the App automatically creates an anonymous session with our service provider Supabase the first time you use the meal analysis. No sign-in is required for this.

Data processed: a randomly generated user identifier (UUID); session and refresh tokens (JWT); an "anonymous" flag; as well as technical session and security metadata managed by the authentication service (Supabase GoTrue), in particular IP address, user agent and timestamps.
Place of storage: server (Supabase).
Legal basis: Article 6(1)(b) GDPR (the identifier is necessary in order to provide the analysis you have requested and to maintain the user-specific quota) as well as Article 6(1)(f) GDPR. Our legitimate interest lies in abuse and cost control and — with regard to the IP address — in ensuring the security of the service.
Storage period: until the account is deleted in the App. No automatic deletion takes place; if you later sign in with Apple, the anonymous identifier is not transferred into your Apple account but remains as an orphaned identifier until it is deleted (cf. Sections 4.2 and 13). You can request deletion at any time via the means described in Section 13 or by contacting us at finn.klapper77@gmail.com.

4. Optional Sign in with Apple

You may — but are not required to — create an account by signing in with Apple. This sign-in is entirely optional and is, in particular, not a prerequisite for setting up or using the App; without signing in, your session remains anonymous (see Section 3). The App offers no email-and-password registration; Sign in with Apple is the only sign-in method.

4.1 Data Processed and Legal Basis

Data processed: an identity token issued by Apple (JWT, processed only temporarily); the Supabase user identifier; your email address; your full name (transmitted only upon initial consent); as well as a cryptographic one-time value (SHA-256 nonce, only temporarily). Depending on your selection in the Apple dialog, your email address may be either your actual email address or an anonymised relay address from Apple (ending in "@privaterelay.appleid.com").
Place of storage: server (Supabase; email and Apple identity data in the authentication tables).
Legal basis: Article 6(1)(b) GDPR (creating and maintaining the account you have requested) in conjunction with Article 6(1)(a) GDPR (you yourself control in the Apple dialog which data you share with us).
Storage period: until the account is deleted; the tokens are renewed regularly.

Apple is an independent controller with regard to the sign-in function (see Section 7 and Apple's privacy information). You may withdraw the consent given in the Apple dialog at any time with effect for the future (Article 7(3) GDPR), including by deleting the account in the App; the lawfulness of the processing carried out up to the point of withdrawal remains unaffected.

4.2 Note on Account Linking

A previously existing anonymous session (Section 3) is not transferred into the Apple account when signing in with Apple. The anonymous identifier and any usage counters linked to it therefore initially continue to exist separately. You can request the deletion of this data via account deletion or by contacting us.

5. AI-Assisted Meal Analysis ("Meal Scan")

With the meal analysis you can take a photo of a meal or select one from your photo library in order to obtain an estimated nutritional breakdown (e.g. food items, grams, calories and macronutrients). The function is divided into several steps with different data processing.

5.1 On-Device Pre-Detection (Google ML Kit)

Before any photo is transmitted, a local object detection runs over your camera's viewfinder. In this process, camera images and the brightness and bounding-box geometries derived from them are processed exclusively in your device's working memory. This pre-detection takes place entirely on the device via an embedded library (Google ML Kit); no data is transmitted to us or to third parties and nothing is stored permanently. In the absence of any data transmission, Google ML Kit is not a recipient within the meaning of the GDPR in this respect.

Legal basis: Article 6(1)(b) GDPR (provision of the function) as well as Article 6(1)(f) GDPR (our legitimate interest in an on-device detection aid for better image selection).
Storage period: temporary, per individual frame; no storage.

5.2 Photo Analysis

After you have confirmed a still image, the photo is reduced to a maximum of 768 pixels, re-encoded as a JPEG (quality approx. 80) and transmitted to our server function ("Edge Function" analyze-meal) at Supabase and from there to the AI service OpenRouter and onward to an AI model that estimates the nutritional values. The re-encoding as a JPEG typically drops most of the metadata embedded in the original file (e.g. EXIF capture data, including any location data); however, we do not warrant that all metadata is removed in every case. For this reason, please also observe the note at the end of this section.

Data processed: the reduced meal photo (as JPEG/Base64), your device language setting and your user identifier (from the token).
Place and period of storage: The photo is not stored by us. We operate no storage bucket for images; the server function writes the image neither into a database nor into storage, nor into log files (in the event of an error, only the HTTP status and a text excerpt of at most 500 characters is logged, never the image). The photo is merely passed through for the duration of the analysis and is not subsequently retained by us. Processing by the AI provider (OpenRouter and the downstream model) takes place within the scope of the request; any retention by the AI provider is governed by its own terms and is not subject to our control. A configuration of the AI provider that excludes any storage of content ("Zero Data Retention") is not currently activated; we therefore have no influence over whether and for how long the AI provider retains the image within the scope of the request. We do not claim that the AI provider deletes the image immediately.
Legal basis: Article 6(1)(b) GDPR (the analysis requested by you) as well as Article 9(2)(a) GDPR (explicit consent), since a meal photo and the nutritional data estimated from it are treated as a precaution as health-related data and may permit inferences about your diet. Before you first use the function, we obtain your separate, explicit consent, not bundled with other declarations, and display a notice that your photo will be sent for estimation to an AI service (including in the USA), is not stored by us, and that the estimates are only approximate and do not constitute medical advice. You may withdraw this consent at any time with effect for the future (Section 17.1).
Transfer to a third country: The transfer takes place, among others, to the USA; for the recipients and the safeguards, see Sections 7 and 8.

Note: Please photograph only the food item and avoid faces, documents, screens or other identifying details in the meal photos. This helps to ensure that no further personal data (in particular biometric data within the meaning of Article 9 GDPR) is transmitted beyond what is necessary for the nutritional estimate.

5.3 Follow-Up Refinement ("Refine")

Following an analysis, the App may ask you clarifying questions (multiple choice) in order to refine the estimate. No photo is transmitted again in this process. Only the following are transmitted: the previous analysis as text (food names, grams, macros, questions), your answers, your language setting and your user identifier. This data is not stored; only a technical usage/cost record is logged as described in Section 6. The legal basis is Article 6(1)(b) GDPR; with regard to the transfer to a third country, what is stated in Sections 5.2 and 8 applies.

5.4 Automated Processing and Transparency (Article 13(2)(f) GDPR)

The nutritional estimate is produced by an AI model (via OpenRouter; by default Google Gemini 2.5 Flash, alternatively configurable, e.g. Anthropic Claude Haiku). The model evaluates the photo and returns, for each food item, estimated gram and macronutrient values, a confidence indication and, where applicable, follow-up questions. The results are only approximate, can be edited by you at any time and are shown to you merely as a suggestion; human oversight therefore always remains with you. This does not constitute a decision based solely on automated processing in an individual case producing legal effects or similarly significantly affecting you within the meaning of Article 22(1) GDPR. The estimates do not constitute medical or dietary advice (see Section 16).

6. Usage and Quota Accounting of the AI Function ("ai_usage")

In order to limit usage per user (daily limit), to comply with an overall budget and to prevent abuse, we maintain technical usage records.

Data processed: user identifier; purpose (meal analysis or refinement); model used; number of input/output/total tokens; estimated costs; success flag; timestamp. Expressly no images, no meal contents, no macronutrient values and no body data are stored.
Place of storage: server (table public.ai_usage at Supabase).
Legal basis: Article 6(1)(f) GDPR. Our legitimate interest lies in preventing abuse, enforcing the user-specific daily limit and complying with our overall budget. You have a right to object under Article 21 GDPR (see Section 17).
Storage period: These records are retained for a period of at most 12 months; at the latest, they are deleted when your account is deleted.

A purely operational configuration (table ai_config: model, daily limit, maximum tokens, overall budget) contains no personal data.

7. Recipients and Processors (Sub-Processors)

We disclose personal data only to the recipients named below. We have concluded data processing agreements pursuant to Article 28 GDPR with our processors Supabase and RevenueCat; with regard to OpenRouter, an Article 28 data processing agreement is currently being secured (see the OpenRouter row and Section 8). No analytics-, advertising-, tracking- or crash-related disclosure to third parties takes place; the App contains no analytics, crash-reporting, advertising or tracking services, no advertising ID / "App Tracking Transparency", and no location, HealthKit, contacts or microphone access.

Recipient / Entity	Role	Data transmitted	Registered office / Transfer
Supabase, Inc. (USA)	Processor (Article 28 GDPR): database, authentication (anonymous session and Sign in with Apple), server functions analyze-meal and delete-account	user identifier; in the case of Sign in with Apple, email and name; session/security metadata (IP address, user agent); usage counters ai_usage; temporarily passed-through meal photo	USA / third country; safeguards by means of EU Standard Contractual Clauses (Implementing Decision (EU) 2021/914) pursuant to Supabase's data processing agreement. An EU hosting region (e.g. Frankfurt) can be selected.
OpenRouter, Inc. (USA)	Sub-processor (engaged via the server function): AI intermediary service for the nutritional estimate	reduced meal photo and language setting, only temporarily within the request	USA / third country (Articles 44 et seq. GDPR). A data processing agreement and additional appropriate safeguards (Standard Contractual Clauses) are currently being secured; until they are in place, this individual, user-initiated transfer relies on Article 49(1)(b) GDPR (see Section 8). A "Zero Data Retention" configuration is not yet enabled; any storage of content is governed by the provider's terms.
Google LLC and/or Anthropic, PBC (USA)	downstream AI model provider (reached via OpenRouter): executes the image model. The model used in each case may change; the current configuration named in the App is decisive.	the meal photo and the prompt	USA / third country; transfer in accordance with Section 8; retention according to the terms of the respective provider
RevenueCat, Inc. (USA)	Processor (Article 28 GDPR): management of the in-app subscription / verification of the entitlement	pseudonymous user ID (after sign-in = Supabase identifier, otherwise an anonymous RevenueCat identifier) as well as purchase/subscription and SDK platform data; no names, email or payment data	USA / third country; safeguards by means of EU Standard Contractual Clauses (2021/914) pursuant to RevenueCat's data processing agreement
Apple Distribution International Ltd., Hollyhill, Cork, Ireland	independent / separate controller (not a processor) for Sign in with Apple as well as for payments and distribution via the App Store (merchant of record)	for Sign in with Apple: name (editable), real or relay email, developer-specific identifier; for payments: payment/billing data which Apple collects and which does not reach us	the responsible entity within the EEA is Apple Ireland; Apple's privacy information applies

The aforementioned processors in turn engage further sub-processors (in the case of Supabase, e.g. Amazon Web Services for infrastructure, as well as Google LLC, Fly.io and Sentry). The respective current list of sub-processors and the data processing agreements can be found at the respective providers (Supabase, OpenRouter, RevenueCat). Apple is an independent controller; no data processing agreement is required in this respect.

8. Transfer to Third Countries (Articles 44 et seq. GDPR)

In the course of the AI meal analysis (Supabase, OpenRouter, downstream model provider) as well as subscription management (RevenueCat, Apple), personal data is also transferred to the USA and thus to a third country. The basis for these transfers differs depending on the recipient:

Standard Contractual Clauses (Article 46(2)(c) GDPR): The EU Standard Contractual Clauses (Implementing Decision (EU) 2021/914) have been agreed with Supabase and RevenueCat on the basis of the respective data processing agreements.
EU-US Data Privacy Framework: To the extent that a US recipient is certified under the EU-US Data Privacy Framework, the transfer may additionally rely on the corresponding adequacy decision; otherwise, the Standard Contractual Clauses or the necessity basis set out below apply. We do not assume blanket adequacy for all US recipients.
Necessity for the performance of a contract (Article 49(1)(b) GDPR), as an interim measure: The transfer of the meal photo to the AI intermediary service OpenRouter and to the downstream model takes place in order to carry out the analysis expressly requested by you in the individual case, and is necessary for this purpose. For these recipients, appropriate safeguards within the meaning of Article 46 GDPR are not yet fully in place at present; we are working on concluding them (in particular a data processing agreement and Standard Contractual Clauses) and on activating a configuration without storage of the transmitted content. Until then, we base this individual-case, user-triggered transfer on Article 49(1)(b) GDPR as a transitional solution. The analysis is voluntary: you can refrain from it at any time if you do not wish for this transfer to take place, in which case no photo is transmitted.

According to the case law of the European Court of Justice, the USA is not generally regarded as a country with a level of data protection equivalent to EU law; in particular, more extensive governmental access possibilities exist. You can request a copy of the respective safeguards or more detailed information on this from us at finn.klapper77@gmail.com.

9. Data Stored Exclusively on the Device (Profile, Training, Nutrition)

You record and use the following data exclusively locally on your device. It is never transmitted to us or to third parties. We hold no server-side copy of it. Insofar as it concerns health-related or health-adjacent data, we point out as a precaution Article 9 GDPR; the collection takes place with your explicit consent (Article 9(2)(a) GDPR), which you are asked for separately and unbundled before the first input of body data and which you may withdraw at any time (Article 7(3) GDPR), including by resetting the App or uninstalling it.

Profile and body data (onboarding): weight, height, age, sex (male/female/diverse); optional name (free text); training goals/skills; experience level; training days per week; session duration; training environment/equipment; engine settings; Hyrox interest; nutrition goal (deficit/maintenance/surplus); reminders; time of creation. Legal basis: Article 6(1)(b) GDPR (provision of the training/nutrition plan) and, for the body data, Article 9(2)(a) GDPR. Providing body data is voluntary; without it, we can calculate local target values only to a limited extent.
Derived health targets: calculated daily targets for calories, protein, fat, carbohydrates and water. These are continuously recalculated and are not separately stored permanently. Legal basis: Article 9(2)(a) GDPR (derivation from body data).
Strength values: exercise ID, date, value (repetitions/seconds), e.g. for pull-ups, push-ups, dips, hollow hold. Legal basis: Article 6(1)(b) GDPR, and as a precaution Article 9(2)(a) GDPR (inference of physical performance capacity).
Training/session logs including self-reported wellbeing: session/workout identifier, name, type; date; duration; value/status per set; rest time; XP; as well as wellbeing before and after training (scale 1–5), perceived exertion/RPE (1–5) and the target-actual comparison (under/met/exceeded). Since wellbeing, exertion and RPE are subjective wellbeing indicators, we treat these as a precaution as a special category; legal basis: Article 6(1)(b) GDPR and Article 9(2)(a) GDPR.
Skill progress: for each skill, the highest level index reached. Legal basis: Article 6(1)(b) GDPR.
Nutrition/meal log (manual and stored AI results): meal identifier, date, meal type, food/recipe ID or free-text name with calories/protein/carbohydrates/fat, portions. The photo itself is not stored. Legal basis: Article 6(1)(b) GDPR, and as a precaution Article 9(2)(a) GDPR (an ongoing food diary may reveal eating patterns).
Hydration: for each day, the total amount drunk in millilitres. Legal basis: Article 6(1)(b) GDPR.
Running/engine logs: run identifier, date, type, distance, duration (for pace), associated workout ID, notes (free text). No GPS or route data is collected (no location permission). Legal basis: Article 6(1)(b) GDPR, and as a precaution Article 9(2)(a) GDPR (endurance performance).
Weekly goal and progress: weekly goal as well as derived XP, level and streak. Legal basis: Article 6(1)(b) GDPR.

Storage period of all of the aforementioned data: until the App is uninstalled or until you reset the App in the settings (in which case the local data record is deleted).

Your control over this data: As this data never leaves your device, we hold no copy and are technically unable to view, retrieve, provide in a portable form, correct, restrict or delete it for you. You are the only party who can access it — through the App's own screens, to the extent the App displays it — and you can erase it yourself at any time by resetting the App in the settings or by uninstalling the App. The data-subject rights described in Section 17 that require action by us therefore relate to the server-side data only; in respect of the on-device data, control lies solely with you. The App does not currently provide a function to export this data in a structured, machine-readable file.

10. Subscription, Payments and Restoration of Purchases

10.1 Conclusion and Management of the Subscription

Calist offers a paid subscription ("Pro"), which is processed via the Apple App Store. For the management of the entitlement, we use the service provider RevenueCat. The contractual terms of the subscription (in particular price, term, automatic renewal, right of withdrawal and cancellation) follow from our Terms of Use as well as from the information in the App Store; this Privacy Policy describes only the associated data processing.

Data processed: RevenueCat user ID (after Sign in with Apple = Supabase identifier, otherwise an anonymous RevenueCat identifier); status of the "Pro" entitlement; purchase/receipt/transaction status; customer information (CustomerInfo); SDK platform data (operating system and app version, country). Payment, card and billing data reach neither the App nor us nor RevenueCat; these are collected exclusively by Apple.
Place of storage: server (RevenueCat) and Apple. In the App itself, only a boolean value ("subscribed") is held locally as an offline cache.
Legal basis: Article 6(1)(b) GDPR (performance of the subscription contract).
Storage period: according to the retention provisions of RevenueCat or Apple.

10.2 Linking of Identifiers at RevenueCat

For the restoration of purchases and for cross-device continuation, RevenueCat links the Supabase identifier with the RevenueCat user ID (prior to sign-in, with an anonymous RevenueCat identifier). Legal basis: Article 6(1)(b) GDPR. This link is affected by a sign-out (a new anonymous RevenueCat user is created) or by an account deletion; it is not automatically removed by the in-app deletion of the Supabase data (see Section 13).

10.3 Restoring Purchases and Managing/Cancelling the Subscription

At your request, previous App Store transactions and the entitlement status can be restored (Article 6(1)(b) GDPR); in this process, only the aforementioned boolean value is updated on the app side. The management or cancellation of the subscription takes place via a reference to Apple's subscription management (apps.apple.com/account/subscriptions); we do not process any data ourselves in this regard.

11. Device Permissions (Camera and Photo Library)

The App requests access only to the camera and the photo library, and solely for the purpose of taking or selecting a meal photo. The on-device pre-detection sends nothing (Section 5.1); only the JPEG that you have confirmed, reduced to a maximum of 768 pixels, is transmitted. Other permissions (in particular location, microphone, contacts, HealthKit) are not requested.

12. Local Storage, Cookies and No Tracking

The App stores exclusively technically necessary data locally on your device (via "shared preferences") that is required for the functioning of the App. No cookies for analytics or advertising purposes, no tracking technologies, no advertising ID and no "App Tracking Transparency" prompt are used. Consent pursuant to Section 25 of the German Telecommunications Digital Services Data Protection Act (TDDDG) is therefore not required. We do not track you across the apps or websites of other companies.

13. Account Deletion and Scope of Deletion

You can delete your account in the App at any time ("You" area → Account → Delete). In doing so, the usage counters belonging to your identifier (ai_usage) as well as the authentication record (identifier, email, Apple identity) are permanently deleted via our server function delete-account; linked identities and sessions are deleted along with them. At the same time, the local data on the device is reset. This serves to fulfil the right to erasure (Article 17 GDPR) with regard to the data held at Supabase. The in-app deletion is also available to you in the case of a purely anonymous session (without Sign in with Apple).

Please note regarding the scope:

The in-app deletion removes the data held at Supabase (the authentication record and the ai_usage counters of the current identifier).
It does not automatically remove the customer record at RevenueCat, the Apple-side subscription or the Apple sign-in token, or any usage counters of an earlier anonymous identifier. You can achieve complete deletion through the in-app deletion in combination with uninstalling/resetting the App as well as — if desired — contacting us to delete the RevenueCat customer record.
The data stored exclusively on your device (Section 9) can be erased only by you, by resetting the App or uninstalling it; because we hold no copy, we cannot carry out this erasure remotely on your behalf.
A sign-out only ends the local session and dissolves the RevenueCat link; the server-side authentication record and the email remain in place, and the local profile is not deleted in this process.

We are happy to assist you with complete deletion at finn.klapper77@gmail.com.

14. Storage Periods at a Glance

Meal photo: not stored by us; only passed through temporarily for the analysis; any retention by the AI provider is governed by its terms.
Anonymous identifier, Apple account (identifier, email, name): until account deletion.
Usage counters ai_usage: at most 12 months, at the latest until account deletion.
Local device data (profile, body, training, nutrition, running, hydration, skill and progress data): until uninstallation or reset in the App.
Subscription/entitlement data: according to the provisions of RevenueCat or Apple.

15. Necessity of Provision and Consequences of Non-Provision

Using Calist does not, in principle, require any sign-in. You are not obliged to provide us with personal data; however, individual functions depend on certain information:

Without a meal photo, no AI meal analysis is possible.
Without Sign in with Apple, your account remains anonymous (only the usage counter is maintained).
Providing body data is voluntary; without it, local target values can be calculated only to a limited extent.
For a subscription, the payment data processed by Apple is required, which Apple processes exclusively.

16. Not a Medical Offering

Calist is a general fitness, wellness and nutrition offering and not a medical device. It is not intended for the diagnosis, treatment, cure, alleviation, monitoring or prevention of diseases. The AI nutritional indications are estimates and not medical or dietary advice; they do not replace advice from a doctor or a nutrition professional. Please consult a qualified person before making changes to your diet or your training, in particular in the case of pre-existing conditions, during pregnancy or in the case of eating disorders.

17. Your Rights as a Data Subject

Under the GDPR, you are entitled in particular to the following rights. Please note that we can actively exercise these rights only with regard to the data processed by us server-side; the data stored exclusively on your device (Section 9) is controlled solely by you via the App, and we hold no copy of it and can neither retrieve nor delete it for you.

Access (Article 15 GDPR): to the data processed about you server-side, including the recipients and the logic of any automated processing (Article 15(1)(h) GDPR). Data held exclusively on your device is visible to you directly in the App to the extent the App displays it.
Rectification (Article 16 GDPR): of inaccurate or incomplete data.
Erasure (Article 17 GDPR): in particular via the in-app account deletion for server-side data, and via reset/uninstallation for on-device data (Section 13).
Restriction of processing (Article 18 GDPR).
Data portability (Article 20 GDPR): receipt of the data you have provided and that we process server-side on the basis of consent or a contract, in a structured, commonly used, machine-readable format, insofar as this is technically feasible.
Objection (Article 21 GDPR): you may object at any time, on grounds relating to your particular situation, to the processing that we base on Article 6(1)(f) GDPR (in particular the usage counters/abuse prevention as well as the processing of the IP address for security purposes, Sections 3 and 6).
No decision based solely on automated processing (Article 22 GDPR): No decision based solely on automated processing in an individual case producing legal effects or similarly significantly affecting you takes place (see Section 5.4).

17.1 Withdrawal of Consent (Article 7(3) GDPR)

Insofar as we process data on the basis of your consent — in particular for the AI meal analysis and the health-related/health-adjacent data (Article 9(2)(a) GDPR) as well as for the data sharing in the Apple dialog — you may withdraw this consent at any time with effect for the future. Withdrawal is as easy as giving consent (e.g. by resetting the App, exiting the function or notifying us). Withdrawal operates only for the future and does not affect the lawfulness of the processing carried out on the basis of the consent up to the point of withdrawal; in particular, it cannot reverse an analysis of a meal photo that has already been performed before the withdrawal.

17.2 Right to Lodge a Complaint with a Supervisory Authority (Article 77 GDPR)

Without prejudice to any other legal remedies, you have the right to lodge a complaint with a data protection supervisory authority, in particular in the Member State of your place of residence, your place of work or the place of the alleged infringement. The following supervisory authority is competent for us (the state data protection authority of the federal state in which the controller is established):

Berlin Commissioner for Data Protection and Freedom of Information, Alt-Moabit 59–61, 10555 Berlin, Germany (www.datenschutz-berlin.de)

You may, however, also turn to the supervisory authority of your own place of residence. If you have any questions about this, you can reach us at finn.klapper77@gmail.com.

18. Children and Minimum Age

Calist is not directed at children and is intended only for persons who are at least 16 years old. By using the App you confirm that you have reached this age. Persons under 16 years of age may use the App only with the consent of the holders of parental responsibility (Article 8 GDPR; in Germany, the age limit of 16 years applies to consent to information society services). If we become aware that we are processing personal data of a child below this age limit without the required parental consent, we will delete that data without undue delay.

19. Changes to This Privacy Policy

We will adapt this Privacy Policy if the processing changes or if legal or technical developments require it. The current version published in the App or on our website applies in each case.

Date of this Privacy Policy: 14 June 2026. If you have any questions about data protection, you can reach us at finn.klapper77@gmail.com.