Datenschutzerklärung
1. Verantwortlicher
Verantwortlich für die Verarbeitung deiner personenbezogenen Daten im Sinne der DSGVO ist:
2. Überblick: Welche Daten wir erheben
MNTRA erhebt nur die Daten, die für den Betrieb der App notwendig sind. Die folgende Tabelle gibt dir einen schnellen Überblick:
| Datenart | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse, Passwort (verschlüsselt) | Account-Erstellung und Login | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Gesundheits- und Fitnessdaten (HealthKit) | Kernfunktion der App | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) |
| Standortdaten (nur „im Gym Ja/Nein", keine Koordinaten) | Automatisches Erkennen des Studio-Besuchs | Art. 6 Abs. 1 lit. a + b DSGVO (Einwilligung + Vertrag) |
| Foto deiner Mahlzeit (nur bei aktiver Nutzung der KI-Funktion) | Automatische Erkennung von Nährwerten via Google Gemini | Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung) |
| Nutzungsverhalten (anonymisiert) | Verbesserung der App | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Crash-Logs und Fehlermeldungen | Technische Fehlerbehebung | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Eigenwerbung im In-App-Karussell | Feature-Kommunikation, MNTRA-eigene Promos | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
3. Account-Daten
Wenn du einen MNTRA-Account anlegst, speichern wir deine E-Mail-Adresse sowie ein verschlüsseltes Passwort (kein Klartext). Diese Daten sind notwendig, um dir Zugang zu deinem Account zu geben und deine Daten geräteübergreifend zu synchronisieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – die Verarbeitung ist zur Erfüllung des Nutzungsvertrags erforderlich.
4. Gesundheits- und Fitnessdaten (Apple HealthKit)
MNTRA kann – mit deiner ausdrücklichen Erlaubnis – auf Gesundheits- und Fitnessdaten aus Apple HealthKit zugreifen. Welche Datenkategorien konkret genutzt werden, hängt von den Funktionen ab, die du verwendest (z. B. Schlafphasen, Herzrate, Schritte).
Wichtig: HealthKit-Daten werden ausschließlich für die Anzeige und Auswertung innerhalb der App verwendet. Sie werden nicht für Werbung, Marketingzwecke oder an Dritte weitergegeben. Die Daten werden in deinem Supabase-Account gespeichert und sind nur für dich zugänglich.
Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung, die du jederzeit in den iOS-Einstellungen unter Datenschutz & Sicherheit → Gesundheit → MNTRA widerrufen kannst.
5. Standortdaten (Gym-Geofencing)
MNTRA nutzt deinen Standort, um automatisch zu erkennen, wenn du dein Studio betrittst. Diese Funktion ist optional — die App fragt dich beim ersten Start um Erlaubnis, und du kannst sie jederzeit in den iOS-Einstellungen deaktivieren.
Welche Daten verarbeitet werden:
- iOS-Region-Monitoring auf einen vordefinierten Geo-Fence (100 m Radius um dein Studio)
- Ein einziges Bool-Flag
is_at_gym(true/false) nach 5 Minuten Aufenthaltsdauer - KEINE rohen GPS-Koordinaten — diese verlassen niemals dein Gerät
- KEINE Bewegungs-Historie, kein Tracking deines Wegs
„Immer"-Berechtigung: Wir benötigen die „Immer"-Standortberechtigung, weil iOS-Region-Monitoring nur damit zuverlässig im Hintergrund funktioniert. Trotzdem verarbeiten wir nur die Information „im Studio Ja/Nein" — wir wissen nicht, wo du sonst bist.
Speicherung: Nur das Bool-Flag is_at_gym wird in
deinem Supabase-Profil gespeichert, damit Freunde im Feed sehen können, dass
du gerade im Studio bist (Presence-Feature). Bei Verlassen des Geo-Fences wird
der Wert sofort wieder auf false gesetzt.
Widerruf: Du kannst die Funktion jederzeit deaktivieren unter iOS-Einstellungen → Datenschutz & Sicherheit → Ortungsdienste → MNTRA. Die App funktioniert dann ohne Auto-Check-in — alle Trainings können weiterhin manuell gestartet werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die iOS- Permission-Abfrage) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung für das Auto-Check-in-Feature).
6. Nutzungsanalytics
Wir erfassen anonymisierte Nutzungsdaten (z. B. welche Funktionen genutzt werden, App-Version, Gerätetyp), um die App kontinuierlich zu verbessern. Diese Daten lassen sich nicht auf einzelne Personen zurückführen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Weiterentwicklung des Produkts.
7. Crash-Reports (Sentry)
Zur technischen Fehlerbehebung nutzen wir Sentry (Sentry, Inc.), einen Dienst für Fehler-Monitoring. Wenn die App abstürzt oder einen Fehler produziert, sendet Sentry einen automatischen Bericht, der technische Informationen enthält (z. B. Stack Trace, Gerätetyp, App-Version, Zeitpunkt).
Sentry verarbeitet Daten auf Servern in den USA. Die Datenübermittlung erfolgt auf Basis von Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Sentry ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert.
Weitere Informationen: sentry.io/privacy
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem stabilen und fehlerfreien Betrieb der App.
8. Datenspeicherung: Supabase
Deine Account-Daten und App-Daten werden in Supabase gespeichert, einem Open-Source-Backend-Dienst (Supabase Inc., USA). Wir nutzen einen EU-Datenbankstandort (Irland, AWS eu-west-1), sodass deine Daten die EU nicht verlassen.
Supabase verarbeitet Daten als unser Auftragsverarbeiter gemäß Art. 28 DSGVO. Weitere Informationen: supabase.com/privacy
9. KI-gestützte Bildanalyse (Google Gemini)
Wenn du das Feature „Mahlzeit per Foto erkennen" nutzt, wird das Bild für eine einmalige Analyse an Googles KI-Service Gemini übermittelt. Die Übertragung erfolgt über eine von uns betriebene Supabase Edge Function, die als sicherer Proxy fungiert (JWT-authentifiziert, kein API-Token im App-Bundle).
Was mit deinem Bild passiert:
- Lokales Verkleinern auf max. 1024 px Kantenlänge, JPEG-Kompression Q70 (~150–300 KB)
- EXIF-Metadaten inkl. GPS-Koordinaten werden beim Verkleinern entfernt
- Base64-kodierte Übertragung an die Supabase Edge Function
- Weiterleitung an Google Gemini (USA) zur Analyse
- Keine Speicherung des Bildes in Supabase oder bei MNTRA — der Proxy reicht es nur durch
- Rückgabe: ausschließlich die berechneten Nährwerte (Kalorien, Protein, Carbs, Fett) plus ein Erkennungs-Text
Wichtiger Hinweis zum aktuellen Nutzungsstand: MNTRA nutzt derzeit den kostenlosen Gemini-API-Tier („Free Tier"). Nach Googles aktuell veröffentlichten API-Nutzungsbedingungen kann Google Eingabedaten aus dem Free-Tier zur Verbesserung der KI-Modelle verwenden. Wenn du das nicht möchtest, lade keine Bilder hoch — die manuelle Erfassung (Eingabe in Gramm oder Barcode-Scan) ist jederzeit verfügbar. Das Foto-Feature ist komplett freiwillig. Sobald wir auf einen Paid-Tier wechseln (Google nutzt dort keine Daten zum Modell-Training), aktualisieren wir diese Erklärung.
Die Übermittlung an Google erfolgt in die USA auf Basis von Standardvertrags- klauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Google ist nach dem EU-US Data Privacy Framework zertifiziert.
Weitere Informationen: Gemini API Terms · Google Privacy Policy
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine ausdrückliche Einwilligung durch die aktive Foto-Auswahl im KI-Tab.
10. Weitergabe an Dritte
Wir geben deine Daten nicht an Dritte weiter, außer in den folgenden Fällen:
- Supabase – als Auftragsverarbeiter für die Datenspeicherung (siehe Abschnitt 8)
- Sentry – für Crash-Reports (siehe Abschnitt 7)
- Google Gemini – nur bei aktiver Nutzung der KI-Bildanalyse (siehe Abschnitt 9)
- STRATO – als Auftragsverarbeiter für das Hosting dieser Website (siehe Abschnitt 16)
- Gesetzliche Verpflichtung – wenn wir dazu rechtlich verpflichtet sind
Gesundheitsdaten aus HealthKit werden niemals an Dritte weitergegeben.
11. Werbung & Partner-Promotions
Die MNTRA-App zeigt auf der Startseite ein Werbe-Karussell („AdCarousel") mit maximal 3–5 Slots. Aktuell sind dort ausschließlich MNTRA-eigene Inhalte hinterlegt — z. B. Beta-Hinweise, Feature-Ankündigungen oder Verweise auf das eigene Shop-Sortiment. Drittpartner-Werbung gibt es derzeit nicht.
Was wir ausdrücklich NICHT tun:
- Kein Behavioral-Tracking, keine Erstellung von Werbeprofilen
- Keine Verwendung der Apple Advertising-ID (IDFA)
- Keine Einbindung von Drittanbieter-Ad-Networks (z. B. AdMob, Meta Audience Network)
- Keine personalisierte Anzeige auf Basis deiner Gesundheits-, Trainings- oder Ernährungsdaten
Sobald wir Partner-Werbung einbinden (z. B. Studios, Sportmarken, Ernährungs- brands), aktualisieren wir diese Datenschutzerklärung VOR Aktivierung des Features. Falls dabei Tracking erfolgt, holen wir vorab deine ausdrückliche Einwilligung über den App-Tracking-Transparency-Dialog von iOS ein.
Abschaltbar: Das Werbe-Karussell kannst du jederzeit unter Profil → Einstellungen → Design → „Werbung anzeigen" komplett deaktivieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Eigenwerbung und Feature-Kommunikation).
12. Speicherdauer
Deine Daten werden gespeichert, solange dein Account aktiv ist. Wenn du deinen Account löschst, werden alle personenbezogenen Daten innerhalb von 30 Tagen unwiderruflich gelöscht. Crash-Logs in Sentry werden nach 90 Tagen automatisch gelöscht.
13. Deine Rechte
Als betroffene Person stehen dir folgende Rechte zu:
- Auskunft (Art. 15 DSGVO) – Du kannst jederzeit Auskunft über deine gespeicherten Daten verlangen.
- Berichtigung (Art. 16 DSGVO) – Du kannst unrichtige Daten korrigieren lassen.
- Löschung (Art. 17 DSGVO) – Du kannst die Löschung deiner Daten verlangen.
- Einschränkung (Art. 18 DSGVO) – Du kannst die Verarbeitung einschränken lassen.
- Datenübertragbarkeit (Art. 20 DSGVO) – Du kannst deine Daten in maschinenlesbarem Format erhalten.
- Widerspruch (Art. 21 DSGVO) – Du kannst der Verarbeitung auf Basis berechtigter Interessen widersprechen.
- Widerruf der Einwilligung – Du kannst erteilte Einwilligungen (insbesondere für HealthKit-Daten) jederzeit widerrufen.
Zur Ausübung deiner Rechte wende dich an: info@mntra.de
Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Die zuständige Behörde richtet sich nach deinem Wohnsitz in der EU. Eine Übersicht findet sich unter: bfdi.bund.de
14. Datensicherheit
Alle Datenübertragungen erfolgen verschlüsselt über HTTPS/TLS. Passwörter werden niemals im Klartext gespeichert, sondern mit einem sicheren Hashing-Verfahren (bcrypt) geschützt. Der Zugriff auf Produktionsdatenbanken ist auf autorisiertes Personal beschränkt.
15. Kinder
MNTRA richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen. Falls du Kenntnis davon erlangst, dass ein Kind unter 16 Jahren einen Account erstellt hat, kontaktiere uns bitte unter info@mntra.de.
16. Diese Website (mntra.de)
Die Website wird bei der STRATO GmbH (Otto-Ostrowski-Straße 7, 10249 Berlin) gehostet, auf Servern in Deutschland. Beim Aufruf einer Seite speichert der Server automatisch technische Daten in Logdateien: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Referrer sowie Browser und Betriebssystem. Diese Daten brauchen wir, um die Website auszuliefern und vor Missbrauch zu schützen. Sie werden nicht mit anderen Daten zusammengeführt und nach kurzer Zeit gelöscht. STRATO verarbeitet sie als unser Auftragsverarbeiter gemäß Art. 28 DSGVO.
Die Website setzt keine Cookies, nutzt kein Tracking und keine Analyse-Tools und lädt keine Inhalte von Drittanbietern (auch keine Schriften). Links zu Instagram oder TestFlight sind einfache Links; Daten fließen erst, wenn du sie anklickst.
Geteilte Rezepte und Pläne (mntra.de/r/…, mntra.de/p/…) lädt unser Server direkt aus unserer Datenbank (Supabase, EU). Dein Browser stellt dabei keine Verbindung zu Supabase her.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website.
17. Änderungen dieser Datenschutzerklärung
Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Bei wesentlichen Änderungen informieren wir dich über die App oder per E-Mail. Das Datum der letzten Aktualisierung steht immer oben auf dieser Seite.
18. Kontakt
Bei Fragen zum Datenschutz erreichst du uns unter:
info@mntra.de
Privacy Policy
1. Data Controller
The data controller responsible for processing your personal data under the GDPR is:
2. Overview: Data We Collect
MNTRA only collects data that is necessary to operate the app. Here is a quick overview:
| Data Type | Purpose | Legal Basis |
|---|---|---|
| Email address, password (encrypted) | Account creation and login | Art. 6(1)(b) GDPR – contractual necessity |
| Health and fitness data (HealthKit) | Core app functionality | Art. 9(2)(a) GDPR – explicit consent |
| Location data (only "at gym yes/no", no coordinates) | Automatic gym check-in detection | Art. 6(1)(a) + (b) GDPR (consent + contract) |
| Photo of your meal (only when actively using the AI feature) | Automatic macro estimation via Google Gemini | Art. 6(1)(a) GDPR – explicit consent |
| Anonymized usage data | App improvement | Art. 6(1)(f) GDPR – legitimate interest |
| Crash logs and error reports | Technical debugging | Art. 6(1)(f) GDPR – legitimate interest |
| Self-promotion in the in-app carousel | Feature communication, MNTRA-owned promos | Art. 6(1)(f) GDPR – legitimate interest |
3. Account Data
When you create a MNTRA account, we store your email address and an encrypted password (never stored in plain text). This data is necessary to give you access to your account and synchronize your data across devices.
Legal basis: Art. 6(1)(b) GDPR – processing is necessary to perform the contract with you.
4. Health and Fitness Data (Apple HealthKit)
MNTRA may – with your explicit permission – access health and fitness data from Apple HealthKit. The specific data categories depend on the features you use (e.g., sleep stages, heart rate, step count).
Important: HealthKit data is used exclusively for display and analysis within the app. It is never used for advertising, marketing, or shared with third parties. The data is stored in your Supabase account and is only accessible to you.
Legal basis: Art. 9(2)(a) GDPR – explicit consent, which you may revoke at any time in iOS Settings under Privacy & Security → Health → MNTRA.
5. Location Data (Gym Geofencing)
MNTRA uses your location to automatically detect when you enter your gym. This feature is optional — the app asks for permission on first launch, and you can disable it anytime in iOS Settings.
What we process:
- iOS region monitoring on a predefined geofence (100 m radius around your gym)
- A single boolean flag
is_at_gym(true/false) after a 5-minute dwell - NO raw GPS coordinates — they never leave your device
- NO movement history, no path tracking
"Always" permission: We require the "Always" location permission because iOS region monitoring only works reliably in the background with this level. We still only process "at gym yes/no" — we don't know where else you go.
Storage: Only the is_at_gym boolean is stored on
your Supabase profile so friends can see in the feed that you are currently at
the gym (presence feature). When you leave the geofence, the value is
immediately reset to false.
Opt-out: You can disable the feature anytime under iOS Settings → Privacy & Security → Location Services → MNTRA. The app then works without auto-check-in — all workouts can still be started manually.
Legal basis: Art. 6(1)(a) GDPR (consent via the iOS permission prompt) and Art. 6(1)(b) GDPR (performance of the auto-check-in feature).
6. Usage Analytics
We collect anonymized usage data (e.g., which features are used, app version, device type) to continuously improve the app. This data cannot be traced back to individual persons.
Legal basis: Art. 6(1)(f) GDPR – legitimate interest in developing the product.
7. Crash Reports (Sentry)
For technical debugging, we use Sentry (Sentry, Inc.), an error monitoring service. When the app crashes or produces an error, Sentry sends an automated report containing technical information (e.g., stack trace, device type, app version, timestamp).
Sentry processes data on servers in the United States. Data transfers are based on Standard Contractual Clauses (SCCs) pursuant to Art. 46(2)(c) GDPR. Sentry is additionally certified under the EU-US Data Privacy Framework.
More information: sentry.io/privacy
Legal basis: Art. 6(1)(f) GDPR – legitimate interest in maintaining a stable and error-free app.
8. Data Storage: Supabase
Your account data and app data are stored in Supabase, an open-source backend service (Supabase Inc., USA). We use an EU database location (Ireland, AWS eu-west-1), so your data does not leave the EU.
Supabase processes data as our data processor pursuant to Art. 28 GDPR. More information: supabase.com/privacy
9. AI-Powered Image Analysis (Google Gemini)
When you use the "Identify Meal from Photo" feature, the image is transmitted for a one-time analysis to Google's AI service Gemini. The transmission runs through a Supabase Edge Function we operate, acting as a secure proxy (JWT-authenticated; no API token in the app bundle).
What happens to your image:
- Local resize to max 1024 px edge length, JPEG compression Q70 (~150–300 KB)
- EXIF metadata including GPS coordinates is stripped during resize
- Base64-encoded transfer to the Supabase Edge Function
- Forwarded to Google Gemini (USA) for analysis
- No storage of the image in Supabase or by MNTRA — the proxy only relays it
- Response: only the computed macros (calories, protein, carbs, fat) plus a recognition text
Important note on current usage tier: MNTRA currently uses the free Gemini API tier ("Free Tier"). According to Google's currently published API terms, Google may use input data from the Free Tier to improve their AI models. If you do not want this, do not upload photos — manual entry (grams input or barcode scan) is always available. The photo feature is fully optional. As soon as we move to a paid tier (Google does not use data for model training there), we will update this policy.
Data transfers to Google occur to the United States based on Standard Contractual Clauses (SCCs) pursuant to Art. 46(2)(c) GDPR. Google is certified under the EU-US Data Privacy Framework.
More information: Gemini API Terms · Google Privacy Policy
Legal basis: Art. 6(1)(a) GDPR — your explicit consent through actively selecting a photo in the AI tab.
10. Disclosure to Third Parties
We do not share your data with third parties, except in the following cases:
- Supabase – as data processor for storage (see section 8)
- Sentry – for crash reports (see section 7)
- Google Gemini – only when you actively use the AI image analysis (see section 9)
- STRATO – as data processor for hosting this website (see section 16)
- Legal obligation – when required by law
Health data from HealthKit is never shared with third parties.
11. Advertising & Partner Promotions
The MNTRA app displays an advertising carousel ("AdCarousel") on the home screen with a maximum of 3–5 slots. Currently, only MNTRA's own content is shown there — e.g., beta announcements, feature releases, or pointers to our own Shop inventory. We do not run third-party partner advertising at this time.
What we explicitly do NOT do:
- No behavioral tracking, no creation of advertising profiles
- No use of the Apple Advertising Identifier (IDFA)
- No integration of third-party ad networks (e.g., AdMob, Meta Audience Network)
- No personalized ads based on your health, training, or nutrition data
As soon as we integrate partner advertising (e.g., gyms, sports brands, nutrition brands), we will update this Privacy Policy BEFORE the feature is activated. If any tracking is involved, we will obtain your explicit consent in advance via iOS's App Tracking Transparency dialog.
Can be turned off: You can fully disable the advertising carousel anytime under Profile → Settings → Design → "Show ads".
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in self-promotion and feature communication).
12. Retention Periods
Your data is stored for as long as your account is active. When you delete your account, all personal data will be permanently deleted within 30 days. Crash logs in Sentry are automatically deleted after 90 days.
13. Your Rights
As a data subject, you have the following rights:
- Access (Art. 15 GDPR) – You may request information about the data we hold about you.
- Rectification (Art. 16 GDPR) – You may request correction of inaccurate data.
- Erasure (Art. 17 GDPR) – You may request deletion of your data.
- Restriction (Art. 18 GDPR) – You may request that processing be restricted.
- Data portability (Art. 20 GDPR) – You may receive your data in a machine-readable format.
- Objection (Art. 21 GDPR) – You may object to processing based on legitimate interests.
- Withdrawal of consent – You may withdraw any consent (especially for HealthKit data) at any time.
To exercise your rights, contact us at: info@mntra.de
You also have the right to lodge a complaint with a data protection supervisory authority in your EU member state. An overview of EU authorities is available at: bfdi.bund.de
14. Data Security
All data transmissions are encrypted via HTTPS/TLS. Passwords are never stored in plain text — they are protected with a secure hashing algorithm (bcrypt). Access to production databases is restricted to authorized personnel only.
15. Children
MNTRA is not directed at children under the age of 16. We do not knowingly collect data from minors. If you become aware that a child under 16 has created an account, please contact us at info@mntra.de.
16. This Website (mntra.de)
The website is hosted by STRATO GmbH (Otto-Ostrowski-Straße 7, 10249 Berlin, Germany) on servers in Germany. When you open a page, the server automatically stores technical data in log files: IP address, date and time, requested page, amount of data transferred, referrer, and browser and operating system. We need this data to deliver the website and protect it against abuse. It is not combined with other data and is deleted after a short time. STRATO processes it as our data processor under Art. 28 GDPR.
The website sets no cookies, uses no tracking or analytics tools and loads no content from third parties (including fonts). Links to Instagram or TestFlight are plain links; no data is shared until you click them.
Shared recipes and plans (mntra.de/r/…, mntra.de/p/…) are loaded by our server directly from our database (Supabase, EU). Your browser does not connect to Supabase.
Legal basis: Art. 6(1)(f) GDPR – legitimate interest in operating the website securely and reliably.
17. Changes to This Privacy Policy
We may update this Privacy Policy from time to time. For material changes, we will notify you through the app or by email. The date of the most recent update is always shown at the top of this page.
18. Contact
For privacy-related questions, you can reach us at:
info@mntra.de