Welche Kalorienzähler-App ist DSGVO-konform mit Servern in der EU?

Weniger, als das Wort verspricht. Die DSGVO gilt für jede App, die Menschen in der EU anbietet, auch für US-Anbieter. „Konform“ heißt also nicht „Server in Europa“, sondern: Rechtsgrundlage für jede Verarbeitung, Auftragsverarbeitungsverträge mit Dienstleistern, ein rechtssicherer Mechanismus für Übermittlungen in Drittländer und die Möglichkeit, deine Daten einzusehen und zu löschen. Ernährungs- und Körperdaten sind dabei Gesundheitsdaten nach Art. 9 DSGVO, für die eine ausdrückliche Einwilligung nötig ist.

Die Frage, die wirklich unterscheidet, lautet deshalb: Wo liegen die Daten, wer ist die verantwortliche Firma, und welche Dienste bekommen was? Eine App kann formal konform sein und trotzdem jedes Foto an fünf US-Dienste geben. Deshalb steht unten für Kairo die vollständige Liste, nicht nur das Wort.

Die Datenbank und die Anmeldung laufen bei Supabase in einer EU-Region; Row-Level-Security-Richtlinien stellen sicher, dass jeder Nutzer nur seine eigenen Daten erreicht, ein AVV nach Art. 28 DSGVO ist geschlossen. Verantwortlich ist die Centaurio UG (haftungsbeschränkt) in Hofheim am Taunus, eingetragen beim Amtsgericht Frankfurt am Main. Die Anmeldung läuft über Sign in with Apple oder Google; Passwörter speichern wir nicht.

Für die Fotoanalyse wird das Bild an die Google-Gemini-API übertragen. Weil wir die kostenpflichtige API nutzen, verwendet Google deine Daten nicht zum Training; gespeichert wird maximal 30 Tage zur Missbrauchskontrolle, Google ist unter dem EU-US Data Privacy Framework zertifiziert. Für die Nährwert-Recherche zu Markenprodukten und Restaurantgerichten geht ausschließlich der erkannte Produktname an einen Suchdienst in den USA (Standardvertragsklauseln), kein Bild, keine Nutzerkennung. Analytics laufen über PostHogs EU-Hosting, Fehlerberichte über Sentrys EU-Verarbeitung. Alles steht mit Rechtsgrundlagen in unserer Datenschutzerklärung.

Yazio ist die YAZIO GmbH aus Erfurt, seit 2023 mehrheitlich im Besitz der französischen Groupe SEB. Eine EU-Firma, und damit ist EU-Betrieb kein Alleinstellungsmerkmal von Kairo. Cal AI gehört seit 2026 MyFitnessPal, Inc. in San Francisco; im Listing gibt es keine Angabe zu EU-Hosting, und Apples Datenschutz-Label nennt Daten, die zum Tracking über Apps hinweg genutzt werden. MyFitnessPal selbst ist ein US-Unternehmen ohne EU-Hosting-Angabe. Cronometer sitzt in Kanada und macht ebenfalls keine EU-Hosting-Angabe.

Das sind Listing-Fakten, keine Bewertung der Rechtmäßigkeit: Alle vier bieten ihre Apps in der EU an und unterliegen der DSGVO. Wer aber will, dass Gesundheitsdaten eine EU-Firma auf EU-Servern verarbeitet, hat mit Kairo und Yazio zwei belegbare Kandidaten mit unterschiedlichem Produkt: Yazio ist ein Datenbank-Logger mit Foto als PRO-Funktion, Kairo eine Foto-first-App im Abo.

Vier reichen. Erstens: Wo steht die Datenbank, in der meine Mahlzeiten liegen? Zweitens: Welche KI analysiert meine Fotos, und werden sie zum Training genutzt? Drittens: Welche weiteren Dienste bekommen welche Daten (Analytics, Abo-Verwaltung, Attribution)? Viertens: Kann ich mein Konto samt Daten selbst löschen, und was passiert dann mit den Fotos? Wenn eine Datenschutzerklärung eine dieser Fragen nicht beantwortet, ist das die Antwort.

Bei Kairo: EU-Region, Gemini-Bezahl-API ohne Training, die Dienste-Liste steht offen in der Datenschutzerklärung, und das Konto löschst du in der App; dann werden Profil, Mahlzeiten und Fotos gelöscht. Was wir nicht behaupten: dass wir keine US-Dienste nutzen. Apple, Google, der Such- und der Abo-Dienst sitzen in den USA; die Übermittlungen laufen über DPF-Zertifizierung oder Standardvertragsklauseln, und genau so steht es dort.

Weil der Zugriff zählt, nicht nur der Standort. Eine Datenbank in Frankfurt, auf die jeder Support-Mitarbeiter mit einem Service-Schlüssel zugreifen kann, schützt weniger als eine Datenbank, bei der Zugriffsregeln pro Nutzer erzwungen werden. Kairo nutzt solche Row-Level-Security-Richtlinien; auch die Anbindung an KI-Assistenten (ChatGPT, Claude) läuft über dein eigenes Login-Token und dieselben Regeln, ohne Generalschlüssel. Mehr dazu unter Kalorien tracken mit ChatGPT oder Claude. Der Standort ist die Voraussetzung; die Architektur ist der Schutz.