Privacy Policy
Effective date: 20 April 2026
This privacy policy explains, in accordance with Articles 13 and 14 GDPR, how personal data is processed when you use the mobile application CarbSense (iOS, Android, Apple Watch companion).
1. Controller
The controller under the GDPR is:
Prim73 – Sole Proprietorship
Imanuel Richter
Nelkenweg 11
76356 Weingarten (Baden)
Germany
Email: contact@prim73.com
Full legal notice: Impressum.
A data protection officer is not legally required and has not been appointed.
2. Definitions
Terms used here follow the definitions in Article 4 GDPR, in particular "personal data" (Art. 4(1)), "processing" (Art. 4(2)) and "special categories of personal data" — which include the health data that CarbSense processes (Art. 9(1) GDPR).
3. Categories of data we process
3.1 Account data
- Email address, name (optional), hashed password (bcrypt), email verification status
- User ID (UUID), creation and update timestamps
- Short-lived JWT session tokens
3.2 Health data (Art. 9 GDPR)
- Blood glucose readings (value, unit, timestamp, trend)
- Meals (name, time, carbohydrates, ingredients, nutrients)
- Insulin/bolus handlings (time, amount, type)
- Sensor information (serial number, type, wear period, replacement requests)
3.3 Product and inventory data
- Scanned barcodes, product names, nutrition facts, NOVA classification, product images
- Inventory entries (quantity, purchase date, storage location)
3.4 Device and usage data
- Firebase Installation ID (pseudonymous device identifier)
- App version, platform (iOS/Android/watchOS), bundle ID
- User-Agent header on API requests
- Push token (APNs) for Apple Watch Live Activities
3.5 Content you actively provide
- Photos of food (for AI analysis, not permanently stored)
- Text queries (e.g. product search)
- Companion relationships (caregiver/relative links)
3.6 Payment and subscription data
In-app subscriptions are contracted and processed solely by the platform operators (Apple App Store, Google Play Store). We do not see or store any payment details. RevenueCat is used for subscription management (see Section 5).
4. Purposes and legal bases
| Purpose | Data | Legal basis |
|---|---|---|
| Account creation and authentication | Account data | Art. 6(1)(b) GDPR (contract performance) |
| Logging and syncing meals, glucose, sensors | Health data | Art. 9(2)(a) GDPR (explicit consent at sign-up) |
| Barcode scanning and product lookup | Barcode, text | Art. 6(1)(b) GDPR |
| AI-based food recognition | Photo, text | Art. 6(1)(a) GDPR (consent per request via deliberate use) |
| Push notifications (Live Activities) | Push token, glucose values | Art. 6(1)(a) GDPR (consent via system dialog) |
| Companion sharing to caregivers | Patient health data | Art. 9(2)(a) GDPR (explicit consent of sharing party) |
| Subscription validation and entitlement status | RevenueCat identifier | Art. 6(1)(b) GDPR |
| Application stability, troubleshooting, remote config | Installation ID, device metadata | Art. 6(1)(f) GDPR (legitimate interest in secure, operational service) |
| Compliance with legal obligations | all | Art. 6(1)(c) GDPR |
You may withdraw any consent at any time with effect for the future (see Section 9).
5. Services and recipients
We rely on processors (Art. 28 GDPR) and independent controllers. Data-processing agreements or EU Standard Contractual Clauses are in place with all processors.
5.1 Hosting and backend — Amazon Web Services (AWS)
- Provider: Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxembourg
- Services: Lambda, DynamoDB, SNS, SES, SSM Parameter Store
- Region: EU (Frankfurt)
- Purpose: Storage and processing of all account and health data; sending system emails (e.g. password reset); forwarding push notifications to Apple APNs
5.2 Push delivery — Apple APNs
- Provider: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ireland
- Purpose: Delivery of Live Activity updates to iPhone and Apple Watch
- Data flow: Glucose value and timestamp are transmitted in the push payload to APNs and delivered immediately to the device (no persistent storage at Apple).
5.3 Remote Config and Installations — Firebase
- Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (with onward transfer to Google LLC, USA)
- Services: Firebase Remote Config, Firebase Installations
- Purpose: Feature flag rollout, pseudonymous device identifier
- Note: Firebase Analytics and Crashlytics are NOT used.
5.4 Subscription management — RevenueCat
- Provider: RevenueCat, Inc., 246 Russ Street, San Francisco, CA 94103, USA
- Purpose: Validation and management of in-app subscriptions, virtual credits for AI features
- Transmitted: pseudonymous user ID, subscription status, platform
- Transfer basis: EU-U.S. Data Privacy Framework or Standard Contractual Clauses
5.5 AI food analysis — OpenAI
- Provider: OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA
- Purpose: Analysis of uploaded food photos and text queries to detect dishes and nutrient values
- Transmitted: photo (Base64, pseudonymous) or text query — no account data
- Retention: Per OpenAI's API terms, data is not used for model training and is deleted after at most 30 days.
- Transfer basis: EU-U.S. Data Privacy Framework or Standard Contractual Clauses
5.6 Product database — Open Food Facts
- Provider: Open Food Facts, 21 rue des Iris, 77700 Bailly-Romainvilliers, France (non-profit)
- Purpose: Retrieval of public product information by barcode
- Transmitted: barcode, no user identifier
5.7 App stores
- Apple App Store (Apple Distribution International Ltd., Ireland) and Google Play Store (Google Ireland Limited, Ireland) handle installation, updates, and payment. Their privacy notices apply independently.
6. International data transfers
Some services listed in Section 5 process data in the United States. Transfers are based on:
- The European Commission's adequacy decision for the EU-U.S. Data Privacy Framework (Google LLC, OpenAI, RevenueCat, Apple — where certified), or
- Standard Contractual Clauses of the European Commission pursuant to Art. 46(2)(c) GDPR, with supplementary technical and organisational measures.
Despite these safeguards, the level of data protection in the US is not guaranteed to match that of the EU; US authorities may in theory request access.
7. Retention periods
- Account data: until you delete your account
- Blood glucose readings: automatically deleted after 90 days (DynamoDB TTL)
- Meals, sensors, inventory, products: until you delete them or close your account
- Photo uploads to OpenAI: not permanently stored; OpenAI retention ≤ 30 days
- Password reset tokens: 1 hour
- Server logs: up to 30 days for abuse prevention (Art. 6(1)(f) GDPR)
- Local data (Realm) on your device: until you uninstall the app or manually delete
8. Device permissions
| Permission | Purpose |
|---|---|
| Camera | Barcode scan, food photo capture |
| Photo library (iOS) | Select existing photos for analysis |
| Notifications / push | Live Activity updates on iPhone and Apple Watch |
| Internet (Android) | Sync with backend |
| Billing (Android) | In-app subscriptions |
You can revoke permissions at any time in your device's system settings; individual features will no longer be available in that case.
9. Your rights
As a data subject you have the following rights:
- Access to the data stored about you (Art. 15 GDPR)
- Rectification of inaccurate data (Art. 16 GDPR)
- Erasure ("right to be forgotten", Art. 17 GDPR)
- Restriction of processing (Art. 18 GDPR)
- Data portability (Art. 20 GDPR)
- Objection to processing based on legitimate interests (Art. 21 GDPR)
- Withdrawal of consent with effect for the future (Art. 7(3) GDPR)
- Complaint to a data protection authority (Art. 77 GDPR). The competent authority for us is: Der Landesbeauftragte fĂĽr den Datenschutz und die Informationsfreiheit Baden-WĂĽrttemberg, LautenschlagerstraĂźe 20, 70173 Stuttgart, Germany.
An informal message to contact@prim73.com is sufficient to exercise your rights. Account deletion is also available directly inside the app.
10. Automated decision-making
No solely automated decision-making, including profiling within the meaning of Art. 22 GDPR, takes place. The AI-based food recognition is merely an aid; all entries are confirmed by you before being saved.
11. Data security
We protect personal data using TLS transport encryption, bcrypt password hashing, JWT-based session isolation, encrypted secret storage in AWS SSM Parameter Store (KMS), and strict access control on backend resources.
12. Use by minors
Minors may only use the app with parental or guardian consent where required by applicable data protection law (Art. 8 GDPR). Age ratings displayed in the app stores apply in addition.
13. Changes to this privacy policy
We update this privacy policy when processing changes require it. The current version is always available in the app and at the privacy URL. Material changes will be announced in the app.
Datenschutzerklärung
Stand: 20. April 2026
Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 DSGVO über die Verarbeitung Ihrer personenbezogenen Daten bei Nutzung der mobilen Anwendung CarbSense (iOS, Android, Apple Watch Companion).
1. Verantwortlicher
Verantwortlich im Sinne der DSGVO ist:
Prim73 – Einzelunternehmen
Imanuel Richter
Nelkenweg 11
76356 Weingarten (Baden)
Deutschland
E-Mail: kontakt@prim73.com
Vollständige Kontaktangaben im Impressum.
Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.
2. Begriffsbestimmungen
Es gelten die Begriffsbestimmungen der DSGVO (Art. 4). Insbesondere „personenbezogene Daten" (Art. 4 Nr. 1), „Verarbeitung" (Art. 4 Nr. 2) und „besondere Kategorien personenbezogener Daten" – hierzu zählen auch Gesundheitsdaten (Art. 9 Abs. 1 DSGVO), die CarbSense verarbeitet.
3. Welche Daten wir verarbeiten
3.1 Kontodaten
- E-Mail-Adresse, Name (optional), verschlüsseltes Passwort (bcrypt), Bestätigungsstatus der E-Mail
- Benutzerkennung (UUID), Erstellungs- und Ă„nderungszeitpunkt
- JWT-Sitzungs-Token (kurzlebig)
3.2 Gesundheitsdaten (Art. 9 DSGVO)
- Blutzuckerwerte (Wert, Einheit, Zeitstempel, Trendkennung)
- Mahlzeiten (Name, Zeit, Kohlenhydrate, Zutaten, Nährwerte)
- Insulin-/Bolus-Handhabungen (Zeit, Menge, Typ)
- Sensor-Informationen (Seriennummer, Typ, Trage-Zeiträume, Austauschanfragen)
3.3 Produkt- und Inventardaten
- Gescannte Barcodes, Produktnamen, Nährwerttabellen, NOVA-Klassifikation, Produktbilder
- Bestandsdaten (Menge, Kaufdatum, Lagerort)
3.4 Geräte- und Nutzungsdaten
- Firebase Installation ID (pseudonyme Gerätekennung)
- App-Version, Plattform (iOS/Android/watchOS), Bundle-ID
- User-Agent-Header bei API-Anfragen
- Push-Token (APNs) fĂĽr Live Activities auf Apple Watch
3.5 Inhalte, die Sie aktiv bereitstellen
- Fotos von Lebensmitteln (zur KI-Analyse, nicht dauerhaft gespeichert)
- Textanfragen (z. B. Produktsuche)
- Begleitbeziehungen (Companion-Verknüpfungen für Betreuende/Angehörige)
3.6 Zahlungs- und Abo-Daten
Abschluss und Abwicklung von In-App-Abonnements erfolgen ausschlieĂźlich ĂĽber die Plattformbetreiber (Apple App Store, Google Play Store). Zahlungsinformationen werden von uns nicht eingesehen oder gespeichert. Zur Abo-Verwaltung nutzen wir RevenueCat (siehe Abschnitt 5).
4. Zwecke und Rechtsgrundlagen
| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| Bereitstellung des Nutzerkontos und Authentifizierung | Kontodaten | Art. 6 Abs. 1 lit. b DSGVO (VertragserfĂĽllung) |
| Erfassung und Synchronisation von Mahlzeiten, Blutzucker, Sensoren | Gesundheitsdaten | Art. 9 Abs. 2 lit. a DSGVO (ausdrĂĽckliche Einwilligung bei Registrierung) |
| Barcode-Scans und Produktsuche | Barcode, Text | Art. 6 Abs. 1 lit. b DSGVO |
| KI-gestĂĽtzte Lebensmittelerkennung | Foto, Text | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung pro Anfrage durch bewusste Nutzung) |
| Push-Benachrichtigungen (Live Activities) | Push-Token, Glukosewerte | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung ĂĽber Systemdialog) |
| Companion-Freigabe an Betreuende | Gesundheitsdaten des Patienten | Art. 9 Abs. 2 lit. a DSGVO (ausdrĂĽckliche Einwilligung der teilenden Person) |
| Kaufabwicklung und Abo-Status | RevenueCat-Kennung | Art. 6 Abs. 1 lit. b DSGVO |
| App-Stabilität, Fehleranalyse, Remote Config | Installation ID, Geräte-Metadaten | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, funktionsfähigen Betrieb) |
| ErfĂĽllung rechtlicher Pflichten | alle | Art. 6 Abs. 1 lit. c DSGVO |
Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (siehe Abschnitt 9).
5. Eingesetzte Dienste und Empfänger
Wir setzen Auftragsverarbeiter (Art. 28 DSGVO) und eigenständig Verantwortliche ein. Mit allen Auftragsverarbeitern bestehen AV-Verträge bzw. Standardvertragsklauseln der EU-Kommission.
5.1 Hosting und Backend – Amazon Web Services (AWS)
- Anbieter: Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxembourg
- Dienste: Lambda, DynamoDB, SNS, SES, SSM Parameter Store
- Region: EU (Frankfurt)
- Zweck: Speicherung und Verarbeitung aller Konto- und Gesundheitsdaten, Versand systemgenerierter E-Mails (z. B. Passwort-ZurĂĽcksetzen), Push-Benachrichtigungs-Weiterleitung an Apple APNs
5.2 Push-Benachrichtigungen – Apple APNs
- Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland
- Zweck: Zustellung von Live-Activity-Updates an iPhone und Apple Watch
- Datenfluss: Glukosewert und Zeitstempel werden im Push-Payload an APNs übertragen und sofort an das Endgerät zugestellt (keine persistente Speicherung bei Apple).
5.3 Remote Config und Installations – Firebase
- Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (mit DatenĂĽbermittlung an Google LLC, USA)
- Dienste: Firebase Remote Config, Firebase Installations
- Zweck: Ausrollen von Feature-Flags, Pseudonyme Gerätekennung
- Hinweis: Es werden keine Firebase Analytics oder Crashlytics eingesetzt.
5.4 Abonnement-Verwaltung – RevenueCat
- Anbieter: RevenueCat, Inc., 246 Russ Street, San Francisco, CA 94103, USA
- Zweck: Validierung und Verwaltung von In-App-Abonnements, virtuelle Guthaben fĂĽr KI-Funktionen
- Ăśbermittelt: pseudonyme Nutzer-ID, Abo-Status, Plattform
- Grundlage Drittlandtransfer: EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln
5.5 KI-Lebensmittelanalyse – OpenAI
- Anbieter: OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA
- Zweck: Analyse hochgeladener Lebensmittelfotos und Textanfragen zur Erkennung von Speisen und Nährwerten
- Übermittelt: Foto (Base64, pseudonym) bzw. Textanfrage — keine Kontodaten
- Speicherung: OpenAI verwendet API-Daten laut Geschäftsbedingungen nicht für Modelltraining und löscht sie nach maximal 30 Tagen.
- Grundlage Drittlandtransfer: EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln
5.6 Produktdatenbank – Open Food Facts
- Anbieter: Open Food Facts, 21 rue des Iris, 77700 Bailly-Romainvilliers, Frankreich (gemeinnĂĽtzig)
- Zweck: Abruf öffentlicher Produktinformationen anhand Barcode
- Ăśbermittelt: Barcode, keine Nutzerkennung
5.7 App-Plattformen
- Apple App Store (Apple Distribution International Ltd., Irland) und Google Play Store (Google Ireland Limited, Irland) wickeln Installation, Updates und Zahlungen ab. Datenschutzhinweise der jeweiligen Anbieter gelten eigenständig.
6. DrittlandĂĽbermittlung
Einige der unter Abschnitt 5 genannten Dienste verarbeiten Daten in den USA. Die Ăśbermittlung erfolgt auf Grundlage:
- Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Google LLC, OpenAI, RevenueCat, Apple – soweit zertifiziert), oder
- Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO einschließlich ergänzender technischer und organisatorischer Maßnahmen.
Trotz dieser Schutzmaßnahmen ist in den USA kein mit der EU vergleichbares Datenschutzniveau garantiert; insbesondere können US-Behörden theoretisch Zugriff verlangen.
7. Speicherdauer
- Kontodaten: bis zur Löschung des Kontos durch Sie
- Blutzuckerwerte: automatische Löschung nach 90 Tagen (DynamoDB TTL)
- Mahlzeiten, Sensoren, Inventar, Produkte: bis zur Löschung durch Sie bzw. bis zur Kontolöschung
- Foto-Uploads an OpenAI: nicht dauerhaft gespeichert; OpenAI-seitig max. 30 Tage
- Passwort-Reset-Token: 1 Stunde
- Server-Logs: max. 30 Tage zur Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO)
- Lokale Daten (Realm) auf Ihrem Gerät: bis zur Deinstallation der App oder manueller Löschung
8. Berechtigungen auf dem Endgerät
| Berechtigung | Zweck |
|---|---|
| Kamera | Barcode-Scan, Fotos von Lebensmitteln |
| Fotobibliothek (iOS) | Auswahl bestehender Fotos zur Analyse |
| Mitteilungen / Push | Live-Activity-Updates auf iPhone und Apple Watch |
| Internet (Android) | Synchronisation mit Backend |
| Abrechnung (Android Billing) | In-App-Abonnements |
Sie können Berechtigungen jederzeit in den Systemeinstellungen Ihres Geräts widerrufen; einzelne Funktionen stehen dann nicht mehr zur Verfügung.
9. Ihre Rechte
Als betroffene Person haben Sie folgende Rechte:
- Auskunft ĂĽber die bei uns gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung Ihrer Daten („Recht auf Vergessenwerden", Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- DatenĂĽbertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
- Widerruf einer erteilten Einwilligung mit Wirkung fĂĽr die Zukunft (Art. 7 Abs. 3 DSGVO)
- Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO). Zuständig für uns: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an kontakt@prim73.com. Die Kontolöschung ist zusätzlich direkt in der App möglich.
10. Automatisierte Entscheidungsfindung
Es findet keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. KI-basierte Lebensmittelerkennung ist lediglich ein Hilfsmittel; alle Einträge werden von Ihnen bestätigt, bevor sie gespeichert werden.
11. Datensicherheit
Wir sichern personenbezogene Daten durch TLS-TransportverschlĂĽsselung, bcrypt-Passwort-Hashing, JWT-basierte Session-Isolation, verschlĂĽsselte Ablage von Geheimnissen im AWS SSM Parameter Store (KMS) sowie strikte Zugriffskontrolle auf Backend-Ressourcen.
12. Nutzung durch Minderjährige
Minderjährige dürfen die App nur mit Einwilligung ihrer Erziehungsberechtigten nutzen, soweit das anwendbare Datenschutzrecht dies verlangt (Art. 8 DSGVO). Für die Altersfreigabe in den App-Stores gelten die dortigen Angaben.
13. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, wenn Änderungen an der Verarbeitung dies erfordern. Die jeweils aktuelle Fassung ist in der App sowie unter der Privacy-URL abrufbar. Wesentliche Änderungen kündigen wir in der App an.