Datenschutz bei Joiva
Stand: 22. Oktober 2026
Dein Konto liegt bei Vitalli. Wie es verarbeitet wird, welche Rechtsgrundlagen gelten und wie du Auskunft oder Löschung verlangst, steht in der Datenschutzerklärung des Vitalli-Kontos.
Diese Seite ergänzt sie um das, was nur Joiva tut: Essen erkennen, Nährwerte nachschlagen, Bilder erzeugen, Einkäufe weiterreichen und erinnern.
Deine Einträge: Lebensmittel, Mengen, Zeiten, Mahlzeiten und Rezepte, Getränke und Wasser, Vorrat und Einkaufszettel, deine Fotos, deine Notizen zu Lebensmitteln (Joi Guide) und die Auswertungen daraus. Dazu, wenn du sie bei Vitalli gepflegt hast, Körperdaten und Ziele für die Berechnung deines Tagesbedarfs. Außerdem, bis zu welchem Stand du die Neuigkeiten an der Glocke gelesen hast, damit der Punkt dort ausgeht, und ob und wann du in die KI-Funktionen eingewilligt oder sie widerrufen hast, und ob und wann du in die Verarbeitung deiner Gesundheitsdaten eingewilligt oder sie widerrufen hast. Fotos speichert Joiva ohne Standort und andere Metadaten der Kamera.
Das sind Gesundheitsdaten nach Art. 9 DSGVO. Joiva verarbeitet sie nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), nach der Joiva beim ersten Öffnen fragt, bevor etwas gespeichert wird. Gespeichert werden sie in einer Datenbank in der EU (Railway, Amsterdam), und sie werden mit deinem Vitalli-Konto gelöscht. An einen KI-Anbieter gehen sie nur mit einer weiteren, eigenen Einwilligung, siehe nächster Abschnitt.
Du widerrufst diese Einwilligung jederzeit unter Konto und Einstellungen, Deine Daten. Danach zeigt und speichert Joiva nichts mehr, auch nicht über einen verbundenen Assistenten oder die anderen Vitalli-Apps, bis du erneut einwilligst. Was bis dahin geschehen ist, bleibt davon unberührt. Deine bisherigen Einträge bleiben gespeichert, bis du dein Vitalli-Konto löschst; herunterladen kannst du sie weiterhin.
Zwei Funktionen geben Gesundheitsdaten an einen KI-Anbieter in den USA, und beide fragen vorher ausdrücklich, jede für sich (Art. 9 Abs. 2 lit. a DSGVO):
Fotoerkennung. Wenn du ein Foto von Essen, einem Etikett oder einer Packung analysieren lässt, geht das Foto an Anthropic, dazu die Namen deiner gemerkten Gerichte, damit Joiva sie wiedererkennt. Vor dem Speichern und vor dem Senden entfernt Joiva Standort, Aufnahmezeit, Gerät und andere Metadaten aus dem Foto. Ein Packungsfoto kann außerdem an Google (Gemini) gehen, wenn daraus das Produktbild im Katalog werden soll (siehe unten).
Joi Coach. Für die Tagesanalyse gehen an Anthropic: was du gegessen und geplant hast, deine Ziele, dein Nährstoffstand und Verlauf der letzten Tage, häufige Lebensmittel und Vorrat als Vorschläge; aus Vora, wenn verbunden, deine Stuhl-Einträge der letzten drei Tage (Bristol-Typ, Zeitpunkt und Voras Einordnung) und auffällige Blutwerte; Ketonwerte, Glukose-Keton-Index (GKI) und Fastenstand aus Vora und Still; Protein je Kilogramm Körpergewicht; Schritte, Aktivkalorien, Schlaf und Ruhepuls deiner verbundenen Wearables; und der laufende Kurs aus Programs. Name, E-Mail-Adresse, Geburtsdatum und Kontokennung gehen nicht mit.
Ohne Einwilligung analysiert Joiva keine Fotos und Joi Coach bleibt aus; Eintragen, Suchen, Barcode, Vorrat und alle übrigen Auswertungen funktionieren weiter. Du widerrufst jederzeit unter Konto und Einstellungen, KI-Funktionen, für jede Funktion einzeln. Der Widerruf wirkt ab dann: Auch deine schon gespeicherten Fotos gehen danach an kein Modell mehr.
Erkennt Essen auf deinen Fotos, liest Verpackungen und Etiketten und erstellt die Tagesanalyse von Joi Coach, beides nur mit deiner Einwilligung und mit den Daten, die oben unter „KI-Funktionen" stehen. Ohne Bezug zu dir schlägt Anthropic außerdem fehlende Nährwerte und Rezeptzutaten nach; dabei gehen nur Namen von Lebensmitteln und Gerichten hin. Anthropic speichert Eingaben laut seinen Bedingungen bis zu 30 Tage und nutzt Daten aus der Schnittstelle nicht zum Training. Dazu die Einordnung deiner Rückmeldungen: Übermittelt wird der Feedback-Text und, wenn du einen anhängst, der Screenshot. Im Feedback-Fenster ist das Anhängen standardmäßig aus; nur wenn du das Häkchen setzt, wird ein Bild aufgenommen. Ein Screenshot kann zeigen, was gerade auf dem Bildschirm steht, also auch Gesundheitsdaten. Ob Screenshots gerade angenommen werden, zeigt das Feedback-Fenster an. Grundlage: Auftragsverarbeitung, Übermittlung in die USA auf Standardvertragsklauseln.
Erzeugt die Bilder zu Lebensmitteln und Gerichten. Dafür gehen die Namen der Lebensmittel hin. Soll aus einem Packungsfoto das Produktbild eines Markenprodukts werden, geht das Foto mit, ohne Metadaten und nur, wenn die Person, die es aufgenommen hat, in die Fotoerkennung eingewilligt hat. Ein Foto, auf dem ein Mensch oder Persönliches zu sehen ist, wird vorher aussortiert. Ob Google Eingaben zur Verbesserung eigener Modelle verwenden darf, richtet sich nach Googles Bedingungen für die Gemini-Schnittstelle. Die Daten werden in die USA übermittelt; Grundlage dafür ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Google LLC zertifiziert ist.
Nur wenn du Bring selbst verbindest: Dann gehen die Einträge deines Einkaufszettels (Bezeichnung und Menge) und die Zugangsdaten, mit denen du dich bei Bring anmeldest, an Bring. Du kannst die Verbindung jederzeit in Joiva trennen.
Nur wenn du Benachrichtigungen erlaubst: Dein Browser erzeugt dafür eine Adresse bei seinem Hersteller, über die Joiva Nachrichten zustellt. Der Inhalt ist verschlüsselt (VAPID), die Hersteller sehen ihn nicht, wohl aber dass und wann zugestellt wird.
Uptik zählt Anmeldungen, Fehler und Seitenaufrufe. Bei der ersten Anmeldung und bei jeder weiteren geht dabei deine E-Mail-Adresse mit, damit sich Rückmeldungen aus der Beta einer Person zuordnen lassen; bei allen anderen Ereignissen geht sie nicht mit. Ereignisse mit Gesundheitsbezug, etwa dass du etwas eingetragen hast, gehen nur mit deiner Einwilligung dorthin; die erteilst und widerrufst du in den Einstellungen deines Vitalli-Kontos. Schickst du eine Rückmeldung, gehen dein Text und die Adresse der Seite an ideaq.io. Das Formular selbst kommt auch von dort: Tippst du auf Feedback, lädt dein Browser es bei ideaq.io, und dabei sieht ideaq.io deine Internetadresse, auch wenn du den Dialog danach abbrichst. Vorher wird dort nichts geladen. Die Adresse trägt dabei keine Suchparameter. Einen Screenshot hängt Joiva nicht von sich aus an: Das Häkchen dafür steht im Feedback-Fenster, standardmäßig aus, und nur wenn du es setzt, wird ein Bild aufgenommen und mitgeschickt. Es kann zeigen, was gerade auf dem Bildschirm steht, also auch Gesundheitsdaten. ideaq.io verarbeitet die Rückmeldung für uns. Zur Einordnung reicht ideaq.io Text und Bild an Anthropic weiter (siehe oben), und Bilder liegen bei Cloudflare R2. ideaq.io selbst läuft mit Anwendung und Datenbank in der EU (Railway, Niederlande), die Bilder in R2 dagegen ohne EU-Bindung. Das sagt nur, wo die Rückmeldung gespeichert wird: Übermittelt werden Text und Bild zusätzlich an Anthropic in die USA, wie oben beschrieben. Feedback-Tickets und Bilder werden nicht automatisch gelöscht, sondern bleiben bis zur Löschung durch uns.
Betrieb der Seite und der Datenbank. Railway Corporation (USA) verarbeitet im Rechenzentrum Amsterdam (EU) auf Grundlage von Standardvertragsklauseln; dort liegen Anwendung und Datenbank. Cloudflare schützt die Verbindung. Bei Cloudflare liegen außerdem Bilder, die an Rückmeldungen hängen (Objektspeicher R2, ohne Bindung an die EU).
Für Nährwerte fragt Joiva öffentliche Quellen ab: den Bundeslebensmittelschlüssel, die USDA-Nährstoffdatenbank, die norwegische Matvaretabellen und Open Food Facts (Barcodes). Dabei geht die gesuchte Bezeichnung oder der Barcode hin, nicht deine Kennung, und nicht deine Internetadresse.
Wenn du sie nutzt, tauscht Joiva mit ihnen die Daten, die beide Seiten brauchen. Was Joiva liest: Vora liefert Zielwerte aus Laborbefunden, Still den Fastenstand, Stackwell die eingenommenen Präparate. Was Joiva schreibt: Vora erfährt, wenn sich eine Mahlzeitzeit bei dir geändert hat, damit es seine Glukosewerte neu einordnen kann, und in Still startet und endet deine Essenspause, wenn du das in Joiva auslöst. Dabei geht die Kennung deines Vitalli-Kontos mit, gegenüber Still deine E-Mail-Adresse, weil Still darauf abbildet.
Dazu Programs, die Kursplattform: Belegst du dort einen Kurs, kann er in Joiva einen Essensplan vorschlagen, Makroziele setzen und den Einkaufszettel füllen, und er liest dafür deinen aktuellen Stand und Zusammenfassungen über einen Zeitraum. Beim ersten Zugriff kann Programs dir auch ein Joiva-Konto anlegen. Das passiert nur, wenn du Programs nutzt.
Umgekehrt können die Apps des Verbunds bei Joiva etwas abrufen, ohne dass Joiva es hinschickt: Vora holt sich, was du an einem Tag und am Tag davor gegessen hast, und die Zeitpunkte deiner kalorischen Mahlzeiten; das Planungs-Briefing des Vitalli-Kontos holt deinen Tagesstand, offene Mikronährstoffe, deinen Vorrat, den Einkaufszettel und deine häufigen Lebensmittel; und eine Schwester-App kann fragen, mit wem du bei Joiva als Buddy verbunden bist, allerdings nur bei bestätigten Verbindungen.
Das geschieht alles nur zwischen Apps desselben Anbieters.
Lädst du jemanden als Buddy ein, gibst du dessen E-Mail-Adresse an. Joiva speichert sie zu deiner Einladung, fragt beim Vitalli-Konto nach, ob es dort schon ein Konto dazu gibt, und schickt eine Einladungsmail. Nimmt die Person an, wird die Einladung ihrem Konto zugeordnet. Löschst du dein Konto, verschwindet die Einladung samt Adresse.
Bei einer angenommenen Verbindung sieht dein Buddy von dir: ob und wie viel du an den letzten sieben Tagen eingetragen hast. Vorrat und Plan sieht er nur, wenn du das ausdrücklich erlaubst, und du kannst es jederzeit aussetzen oder die Verbindung beenden. Deine Einträge selbst, deine Fotos und deine Werte bleiben bei dir.
Du kannst einen Assistenten mit Joiva verbinden, etwa Claude oder ChatGPT. Freigeschaltet wird das je App in deinem Vitalli-Konto, und dort schaltest du es auch wieder ab. Ein verbundener Assistent kann deine Einträge lesen und selbst eintragen: Mahlzeiten, Getränke, Wasser, Vorrat, Einkaufszettel, Regeln und die Auswertungen dazu.
Damit gehen diese Daten an den Anbieter des Assistenten, den du gewählt hast, und für das, was dort passiert, gilt dessen Datenschutzerklärung. Mit ihm haben wir keinen Vertrag und können ihn nicht beschränken, auch nicht in der Frage, ob er die Daten zum Training verwendet; es richtet sich allein nach seinen Bedingungen. Diesen Weg eröffnest du selbst; ohne Freischaltung im Konto gibt es ihn nicht. In der Auswertung vermerkt Joiva nur, dass ein Aufruf stattgefunden hat, nicht welches Werkzeug benutzt wurde. Im Betriebsprotokoll des Servers steht der Name des Werkzeugs, weil ein Zugriff nachweisbar sein muss; dort liegt keine Kennung im Klartext.
Sechs Cookies. Fünf Cookies, alle für die Anmeldung: eines hält deine Sitzung, eines schützt Formulare vor fremdem Absenden, eines merkt sich, wohin es nach der Anmeldung zurückgeht, und zwei begleiten den Anmeldevorgang selbst (Zufallswert und Schlüsselnachweis, beide nach fünfzehn Minuten abgelaufen). Das sechste merkt sich, dass du in die Verarbeitung deiner Gesundheitsdaten eingewilligt hast, damit Joiva nicht bei jedem Aufruf nachfragt; es enthält nur die Fassung des Texts und eine Prüfsumme, und ein Widerruf löscht es. Dazu im Speicher deines Browsers nur Bedienzustand: auf welcher Seite der Daumen-Knopf sitzt, welche Vorrats-Ansicht du zuletzt hattest, welche Hinweise du weggeklickt hast (die Willkommenskarte je Konto, unter einem Kürzel statt deiner Kennung). Während der Anmeldung kommen zwei kurzlebige Einträge dazu, die den Weg zurück in die App finden; sie verschwinden mit dem Schließen des Tabs.
Deine Einträge stehen dort nicht, sondern in der Datenbank. Nichts davon dient Werbung oder dem Wiedererkennen über fremde Seiten hinweg, und nichts davon braucht deine Einwilligung: Es ist für den Betrieb erforderlich (§ 25 Abs. 2 TDDDG).
Vitalli, Inhaber Mirco Stege
Höllenberg 12, 21441 Garstedt
E-Mail: hello@vitalli.app
Alle Pflichtangaben samt Aufsichtsbehörde stehen im Impressum.
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Beschwerde bei der Aufsichtsbehörde. Wie du sie geltend machst, steht in der zentralen Erklärung; schreiben kannst du an die Adresse oben. Deine Joiva-Daten lädst du jederzeit selbst als Datei herunter, unter Konto und Einstellungen, Deine Daten. Löschst du dein Vitalli-Konto, werden auch deine Joiva-Daten gelöscht: Einträge, Fotos, Vorrat, Rezepte, Auswertungen und deine eigenen Lebensmittel.
Was bleibt: Lebensmittel, die du dem gemeinsamen Katalog beigesteuert hast, bleiben dort für alle erhalten, und der Änderungsverlauf des Katalogs behält den Vorgang. Dasselbe gilt für ein Lebensmittel, dessen Nährwerte noch nachgeschlagen werden: Der Name bleibt in der Warteschlange, damit die Nachbesserung zu Ende laufen kann. Deine Kennung wird dabei entfernt, die Einträge sind danach niemandem mehr zuzuordnen. Auch bei Uptik und ideaq.io bleiben bereits übermittelte Ereignisse und Rückmeldungen; dort löschen wir auf Anfrage.