Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Carsten Beuge, Langeneßallee 26, 23554 Lübeck, Deutschland, Tel.: 015565443222, E-Mail: info@xtranu.de.
Diese Erklärung gilt für xtranu.de und für die App unter app.xtranu.de. Dazu gehört auch unser Magazin unter xtranu.de/magazin. Die Artikel dort kannst du lesen, ohne dich anzumelden und ohne Angaben zu deiner Person zu machen.
xtranu ist eine Ernährungs- und Abnehm-App. Um dir einen Plan und ein Tagesziel zu berechnen, verarbeitet sie Angaben zu deinem Körper und zu deinem Essen. Das sind Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Wir gehen damit entsprechend sorgfältig um, und du entscheidest selbst, ob wir sie verarbeiten dürfen (Abschnitt 8).
xtranu läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Server steht im Rechenzentrum Falkenstein in Deutschland, die Verarbeitung findet also ausschließlich in Deutschland statt. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Auch die Datenbank mit deinen Angaben liegt auf diesem Server. Sie ist von außen nicht erreichbar.
Beim Aufruf übermittelt dein Browser Daten, die der Webserver protokolliert:
Diese Protokolle sind für den Betrieb und für die Abwehr von Angriffen erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem stabilen und sicheren Betrieb. Sie werden nach 14 Tagen gelöscht, nicht mit deinem Konto zusammengeführt und nicht weitergegeben.
xtranu wird ausschließlich verschlüsselt ausgeliefert (TLS). Du erkennst das an „https://" und dem Schloss-Symbol in der Adresszeile deines Browsers.
Die App setzt genau ein Cookie: xt_session. Darin steht deine Anmeldung, damit du nicht bei jedem Seitenaufruf dein Passwort eingeben musst. Es ist als httpOnly gesetzt, kann also von Skripten im Browser nicht ausgelesen werden, und läuft nach 30 Tagen ab. Beim Abmelden wird es gelöscht.
Dieses Cookie ist technisch erforderlich, damit die App überhaupt funktioniert. Deshalb brauchen wir dafür keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG), und deshalb siehst du bei uns auch kein Einwilligungsbanner. Andere Cookies setzen wir nicht.
Im Magazin unter xtranu.de/magazin setzen wir für Leserinnen und Leser keine Cookies. Nur im internen Verwaltungsbereich des Magazins, der ausschließlich dem Betreiber vorbehalten ist, wird nach dem Login ein Sitzungs-Cookie (xtranumagazin_admin) gesetzt. Es ist als httpOnly gesetzt und läuft nach sieben Tagen ab. Als Besucherin oder Besucher bekommst du es nie.
Zum Anlegen eines Kontos brauchen wir deine E-Mail-Adresse und ein Passwort. Freiwillig kannst du einen Namen angeben, der nur für die Anrede in der App benutzt wird.
Dein Passwort speichern wir nicht im Klartext, sondern nur als Hash (bcrypt). Auch wir können es nicht lesen. Die Links zur Bestätigung deiner Adresse und zum Zurücksetzen des Passworts liegen bei uns ebenfalls nur als Prüfsumme (SHA-256); der Link selbst steht nur in der Mail an dich und verfällt.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung des Nutzungsvertrags.
Damit xtranu rechnen kann, fragen wir im Fragebogen nach: Geburtsjahr, Geschlecht, Körpergröße, aktuellem Gewicht, Zielgewicht, Ziel (abnehmen, halten, aufbauen), Bewegung im Alltag, Ernährungsform und Unverträglichkeiten oder Allergien. Dazu kommen später dein Gewichtsverlauf, was du gegessen und getrunken hast und, wenn du Premium nutzt und sie selbst einträgst, deine Körpermaße: Taille, Bauch, Hüfte und Brust.
Das sind Gesundheitsdaten. Wir verarbeiten sie ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Diese Einwilligung erteilst du getrennt von der Anmeldung, im Fragebogen, mit einem eigenen Häkchen. Ohne sie legen wir diese Angaben nicht an.
Du kannst die Einwilligung jederzeit widerrufen, in der App unter „Konto" mit einem Klick. Dann löschen wir deine Angaben zu Alter, Größe, Gewicht und Ziel samt Verlauf und deine Körpermaße. Dein Konto bleibt bestehen, du landest wieder beim Fragebogen. Der Widerruf wirkt für die Zukunft; dass die Verarbeitung bis dahin rechtmäßig war, bleibt davon unberührt.
Zu deinem Konto speichern wir außerdem, was du selbst einträgst: abgehakte oder frei erfasste Mahlzeiten mit ihren Nährwerten, getrunkenes Wasser, deine Gewichtseinträge, deine Körpermaße, deine Einkaufsliste, Rezepte, die du selbst anlegst, sowie welche Rezepte du dir als Favoriten merkst und welche Karten du auf deiner Startseite sehen willst. Daraus entstehen dein Plan, deine Tagesbilanz und deine Statistik.
Diese Daten liegen bei deinem Konto und sind für andere Nutzer nicht sichtbar.
Wenn du eine Mahlzeit fotografierst oder in eigenen Worten beschreibst, schätzt eine KI daraus die Nährwerte. Dafür arbeiten wir mit der Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA.
Konkret heißt das:
Rechtsgrundlage ist deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du für die Verarbeitung deiner Gesundheitsdaten erteilt hast; die Nutzung dieser Funktion entscheidest du in jedem Einzelfall selbst. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission, die Bestandteil unseres Vertrags zur Auftragsverarbeitung mit Anthropic sind.
Bitte fotografiere nur dein Essen. Was auf dem Bild sonst noch zu sehen ist, geht mit.
Für die Mengenbegrenzung im kostenlosen Zugang halten wir fest, wann du diese Funktion benutzt hast und ob der Aufruf geklappt hat — nicht, was du erfasst hast.
Der Barcode wird auf deinem Gerät aus dem Kamerabild gelesen. Das Kamerabild verlässt dein Gerät dabei nicht. Übertragen wird nur die erkannte Ziffernfolge.
Mit dieser Nummer fragen wir die Produktdatenbank Open Food Facts ab (Open Food Facts, 21 rue des Iles, 94100 Saint-Maur-des-Fossés, Frankreich). Die Anfrage geht von unserem Server aus, deine IP-Adresse wird also nicht übermittelt. Die gefundenen Produktdaten speichern wir bis zu 90 Tage zwischen, damit dieselbe Packung nicht jedes Mal neu abgefragt werden muss.
Für die Bezahlung von Premium nutzen wir Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland).
Wenn du Premium buchst, leiten wir dich auf eine Seite von Stripe weiter. Deine Zahlungsdaten gibst du dort ein, wir bekommen deine Kartendaten nie zu sehen. Wir übermitteln an Stripe deine E-Mail-Adresse und eine Kennnummer deines Kontos, damit die Zahlung zugeordnet werden kann. Zurück bekommen wir die Kunden- und Abonummer sowie die Laufzeit deines Abos und speichern diese bei deinem Konto.
Welche Daten Stripe darüber hinaus erhebt, steht in Stripes eigener Datenschutzerklärung unter stripe.com/de/privacy. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung des Vertrags; für die Aufbewahrung der Rechnungsunterlagen zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuerlichen Aufbewahrungspflichten.
Rechnungen, Zahlungsmittel und die Kündigung verwaltest du direkt bei Stripe; einen Link dorthin findest du in deinem Konto.
xtranu schickt dir E-Mails, die für dein Konto nötig sind: die Bestätigung deiner Adresse und den Link, wenn du dein Passwort vergessen hast. Werbung oder einen Newsletter bekommst du von uns nur, wenn du dich selbst dafür einträgst (Abschnitt 14).
Der Versand läuft über ALL-INKL.COM, Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Dort liegt auch das Postfach zu unserer Kontaktadresse. Mit All-Inkl besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, die Verarbeitung findet in Deutschland statt.
Wenn du uns schreibst, verwenden wir deine Adresse und deine Nachricht nur, um dein Anliegen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO, bei Vertragsfragen Art. 6 Abs. 1 lit. b DSGVO).
Über den Kündigungsknopf auf xtranu.de kannst du ohne Anmeldung kündigen. Dabei übermittelst du deinen Namen, die E-Mail-Adresse deines Kontos, den gewünschten Zeitpunkt und bei einer außerordentlichen Kündigung deren Grund. Wir verarbeiten diese Angaben, um die Kündigung zuzuordnen, umzusetzen und dir ihren Eingang zu bestätigen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 312k BGB. Die Erklärung und unsere Bestätigung bewahren wir als Nachweis auf, solange Ansprüche aus dem Vertrag geltend gemacht werden können. Das Formular speichert deine Angaben nicht in der Datenbank, es verschickt sie per E-Mail.
Im Magazin unter xtranu.de/magazin kannst du dich für unsere E-Mails eintragen, das Formular steht im Fuß jeder Magazin-Seite. Dafür nutzen wir das Double-Opt-in-Verfahren: Nach der Eingabe schicken wir dir eine E-Mail mit einem Bestätigungslink. Erst wenn du ihn anklickst, nehmen wir deine Adresse auf. Ohne Bestätigung wird der Eintrag nicht aktiv.
Wir speichern deine E-Mail-Adresse, einen zufällig erzeugten Bestätigungsschlüssel sowie die Zeitpunkte von Eintrag, Bestätigung und letztem Versand.
Die Newsletter-Liste ist von der App getrennt. Ein Eintrag legt kein Konto an, und ein Konto in der App meldet dich nicht für den Newsletter an. Deine Gesundheitsdaten aus der App fließen nicht in die Mails ein.
Was in den Mails steht. Neue Artikel aus dem Magazin, Tipps rund um Ernährung und Abnehmen und Angebote zu xtranu, zum Beispiel zu Premium.
Automatische Folge-Mails. Nach der Bestätigung kann eine feste Folge von E-Mails mit zeitlichem Abstand anlaufen, zum Beispiel zwei Tage nach deiner Anmeldung. Diese Mails sind vorher geschrieben und laufen für alle gleich ab. Wir werten dein Verhalten dafür nicht aus und erstellen kein Profil von dir. Zusätzlich versenden wir gelegentlich einzelne Nachrichten an alle Empfänger.
Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Mail oder mit einer formlosen Nachricht an info@xtranu.de. Nach dem Widerruf stoppen sofort alle laufenden Folge-Mails, und wir schicken dir nichts mehr.
Deine E-Mail-Adresse bleibt danach mit den Zeitpunkten von Eintrag, Bestätigung und Abmeldung gespeichert. So können wir nachweisen, dass du eingewilligt und widerrufen hast, und sicherstellen, dass keine Mail mehr an dich geht. Rechtsgrundlage ist unser berechtigtes Interesse an diesem Nachweis (Art. 6 Abs. 1 lit. f DSGVO). Möchtest du, dass wir die Adresse ganz löschen, genügt eine Nachricht an info@xtranu.de.
Wir messen nicht, ob du eine Mail geöffnet hast. Zählpixel setzen wir nicht ein.
Der Versand läuft wie bei den übrigen Mails über ALL-INKL.COM (Abschnitt 13), die Verarbeitung findet in Deutschland statt.
Zum Schutz vor Missbrauch und automatisierten Anfragen (Spam) speichern wir beim Absenden des Newsletter-Formulars deine IP-Adresse und die eingegebene E-Mail-Adresse ausschließlich als Hashwert, also nicht im Klartext, zusammen mit dem Zeitpunkt der Anfrage. Diese Angaben werden nach spätestens 24 Stunden automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an funktionsfähigen und missbrauchsfreien Formularen (Art. 6 Abs. 1 lit. f DSGVO).
Wenn du die Suche im Magazin benutzt, wird dein Suchbegriff nur verwendet, um die passenden Artikel anzuzeigen. Wir speichern ihn nicht gesondert. Weil er Teil der aufgerufenen Adresse ist, steht er wie jede andere Adresse in den Server-Protokollen aus Abschnitt 4 und wird mit diesen nach 14 Tagen gelöscht.
Damit niemand Passwörter durchprobieren oder in fremdem Namen Mails auslösen kann, zählen wir Anmelde- und Anforderungsversuche je Absenderadresse. Diese Zählung läuft nur im Arbeitsspeicher und wird nicht gespeichert; sie verfällt nach wenigen Minuten von selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren Betrieb.
Du kannst xtranu wie eine App auf deinem Startbildschirm ablegen. Dafür legt der Browser ein kleines Programm an, das nur die Hülle der Seite und eine Offline-Meldung vorhält. Angemeldete Seiten mit deinen Daten werden bewusst nicht auf dem Gerät zwischengespeichert. Es werden dabei keine Daten an uns übertragen.
Solange du dein Konto hast. Du kannst es in der App unter „Konto" jederzeit selbst löschen; dazu musst du dein Passwort eingeben.
Das Löschen ist endgültig und sofort: Konto, Profil, Gewichtsverlauf, Mahlzeiten, Wassereinträge, Einkaufsliste und eigene Rezepte werden wirklich gelöscht, nicht nur stillgelegt. Ein laufendes Abo wird dabei sofort gekündigt. Bei Stripe verbleiben die Zahlungs- und Rechnungsunterlagen, solange die steuerlichen Aufbewahrungsfristen laufen.
Widerrufst du nur deine Einwilligung, gehen die Gesundheitsdaten weg und das Konto bleibt (Abschnitt 8).
Für das Magazin gilt: Deine Newsletter-Adresse speichern wir bis zu deinem Widerruf für den Versand, danach nur noch als Nachweis mit den Zeitpunkten von Anmeldung und Abmeldung, auf Anfrage löschen wir sie vollständig. Die Hashwerte aus dem Formularschutz (Abschnitt 15) werden nach spätestens 24 Stunden gelöscht.
Wir binden keine Schriften, Karten, Videos oder Skripte von fremden Servern ein. Es gibt keine Reichweitenmessung, kein Tracking, keine Profilbildung zu Werbezwecken. Deine Daten werden nicht verkauft und nicht an Dritte weitergegeben. Außer den in dieser Erklärung genannten Stellen — Hetzner, All-Inkl, Anthropic, Open Food Facts und Stripe, jeweils für den dort beschriebenen Zweck — bekommt niemand Zugriff.
Dein Plan und dein Tagesziel werden zwar automatisch berechnet, es handelt sich dabei aber nicht um eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO: Sie hat dir gegenüber keine rechtliche Wirkung und beeinträchtigt dich nicht in ähnlicher Weise erheblich. Es sind Vorschläge, denen du folgen kannst oder nicht.
xtranu ist kein Medizinprodukt und ersetzt keine ärztliche oder ernährungsmedizinische Beratung.
Du hast uns gegenüber folgende Rechte:
Für alles davon genügt eine Nachricht an info@xtranu.de. Löschen und Widerruf kannst du außerdem selbst in der App erledigen, unter „Konto".
Soweit wir deine Daten auf Grundlage eines berechtigten Interesses verarbeiten, kannst du dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Wir beenden die Verarbeitung dann, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.
Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist für uns das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, www.datenschutzzentrum.de.
Stand: 08.10.2026 (Magazin und Newsletter ergänzt)