10 – Datenschutz und Nachweise im Alltag

Ernährungsberatung heißt Gesundheitsdaten verarbeiten — besondere Kategorien nach Art. 9 DSGVO. Dieses Kapitel sammelt die Werkzeuge, die nutriam dafür mitbringt: löschen, exportieren, Einwilligungen belegen und nachvollziehen, was wann passiert ist. Beschrieben wird nur, was die App tatsächlich tut — eine Rechtsberatung ist das nicht.

1. Die Werkzeuge im Überblick

Tipp: Zwei Seiten sind leicht zu übersehen. Protokoll steht in der Sidebar unter System. Rechtliche Zustimmungen hat gar keinen Sidebar-Eintrag — du erreichst die Seite nur über den Button oben rechts in den Einstellungen.

2. Abschließen, löschen, anonymisieren — was wann

Für das Ende einer Betreuung gibt es zwei völlig verschiedene Wege. Beide liegen in der Kundenakte im Tab Übersicht unten im Stammdaten-Block, beide verlangen ein Bestätigungshäkchen.

Abschließen ist der Normalfall. Die Akte verschwindet nur aus der Standardliste; über den Statusfilter Abgeschlossen in /clients findest du sie weiter. Bei bereits abgeschlossenen Betreuungen ist der Button deaktiviert.

Löschen ist der Ausnahmefall — für einen Löschantrag nach Art. 17 DSGVO oder ein sauberes Offboarding. Der rote Block heißt „Kundendaten löschen (DSGVO)", das Häkchen lautet „Ich bestätige die unwiderrufliche Löschung der personenbezogenen Daten."

Was die Löschung entfernt

Der Datensatz selbst bleibt bestehen — sonst hingen die Rechnungen in der Luft. Er steht danach auf Archiviert und trägt einen Löschzeitpunkt.

Was die Löschung stehen lässt

Rechnungen samt Positionen, Zahlungen, Mahnfälle und die festgeschriebenen Rechnungsbelege bleiben unangetastet — sie unterliegen der steuerlichen Aufbewahrungspflicht (mehr dazu in 06 – Abrechnung). Auch Angebote bleiben erhalten.

Achtung: Die Löschung räumt auch das Protokoll dieser Kund:in leer. Alle bisherigen Einträge zu dieser Akte verschwinden; übrig bleibt genau ein neuer Eintrag „Kundendaten DSGVO-konform gelöscht". Wenn du den Verlauf als Nachweis brauchst, zieh vorher den Export.

Achtung: Schlagworte werden bewusst mitgelöscht. Wenn du dort fachliche Merkmale wie „Diabetes" oder „Schwangerschaft" vergeben hast, sind das Gesundheitsdaten — sie dürfen eine Löschung nicht überleben.

Und was ist mit Teammitgliedern?

Auch Beschäftigtendaten sind personenbezogen. Scheidet jemand aus, führt der Weg über Verwaltung → Team & Zugriff (siehe 08 – Verwaltung) in drei Schritten: Status auf Entzogen — das sperrt den Zugang sofort —, Kund:innen übergeben, dann Entfernen. Der letzte Schritt anonymisiert Name, E-Mail, Telefon und Titel, löscht die Mitgliedschaft und entfernt das Login-Konto.

Anders als bei Kund:innen bleibt das Protokoll vollständig stehen: Die Vorgänge dokumentieren, wer in deiner Praxis was getan hat, und wären als Nachweis wertlos, wenn sie mit der Person verschwänden. Sie tragen danach keinen Namen mehr, nur noch die interne Kennung.

3. Datenauskunft nach Art. 15: ein Kunde, eine Datei

Im selben roten Block sitzt „Kundendaten exportieren (JSON)". Der Klick erzeugt sofort einen Download namens kunden-export-<Kunden-ID>.json mit allem, was zu dieser Person gespeichert ist:

Die Datei ist maschinenlesbares JSON, kein hübsches PDF. Für eine Auskunftserteilung reicht das als Grundlage; die Aufbereitung für die betroffene Person machst du selbst.

Tipp: Der Export ist auch der beste Weg, eine Akte vor der Löschung zu sichern. Er wird selbst protokolliert („Kundendaten exportiert"), du kannst also später belegen, wann du die Auskunft erstellt hast.

4. Gesamtexport der Praxisdaten (Art. 20)

Auf /verwaltung liegt oben rechts der Button „Daten exportieren". Er ist Team-Admins vorbehalten und liefert alle strukturierten Daten deiner Praxis in einer Datei: nutriam-praxisdaten-JJJJ-MM-TT.json.

Der Export funktioniert auch nach dem Ende deines Abos: Läuft das Abo aus, sperrt nutriam zwar den Zugriff auf die App — der Datenexport bleibt für Team-Admins erreichbar, damit du das in den AGB zugesicherte 30-Tage-Fenster für die Mitnahme deiner Daten tatsächlich nutzen kannst.

Der Kopf der Datei sagt dir, was drin ist:

Enthalten sind unter anderem Kundenakten, Anamnesen, Bedarfsanalysen, Pläne samt Versionen, Einkaufslisten, Check-ins, Fortschritt, Laborwerte, Ernährungsprotokoll, Termine, Nachrichten, Aufgaben, Gewohnheiten, Formulare und Vorlagen, Rezepte, Lebensmittel, Leistungskatalog, Angebote, Rechnungen, Zahlungen, Mahnfälle, Leads, Team und Einladungen, Praxis-Einstellungen sowie die rechtlichen Zustimmungen.

Bewusst nicht enthalten:

• das Aktivitätsprotokoll,
• interne Notizen des nutriam-Supports und dessen Support-Sitzungen,
• dein eigenes nutriam-Abo,
• KI-Rohdaten, Mail-Zustellprotokolle und Push-Geräte-Tokens,
• Zugangsdaten jeder Art — Felder mit Passwörtern, Token oder Schlüsseln werden beim Export grundsätzlich herausgefiltert,
• die Binärdateien selbst; Dokumente erscheinen nur als Verzeichnis.

Achtung: Die Datei enthält die Gesundheitsdaten deiner gesamten Praxis in Klartext. Sie gehört verschlüsselt abgelegt und nicht per E-Mail verschickt. Auch dieser Export wird protokolliert („Praxisdaten exportiert").

5. Fortschrittsfotos: Einwilligung nach Art. 9

Fotos vom eigenen Körper sind Gesundheitsdaten. nutriam behandelt sie deshalb strenger als jede andere Datei.

Die Einwilligung erteilt ausschließlich die Kund:in selbst — im Kundenportal unter Fortschritt, Abschnitt Fotos. Ohne Einwilligung sieht sie dort nur die Karte „Fortschrittsfotos freigeben" mit dem Hinweis auf Art. 9 DSGVO, dem Verweis auf die Datenschutzerklärung und dem Button „Einverstanden, freigeben". Du als Coach kannst diese Einwilligung nicht für sie setzen — es gibt dafür keinen Weg in der Oberfläche und keinen im System.

Was daraus folgt:

In der Kundenakte siehst du das Ergebnis im Tab Fortschritt: der Block „Fortschrittsfotos · Vom Kunden im Portal hochgeladen" nennt in der Kopfzeile den Stand — „Einwilligung seit …" oder „Keine Einwilligung". Liegt weder eine Einwilligung noch ein Foto vor, erscheint der Block gar nicht. Einzelne Bilder entfernst du über Foto löschen. Details zur Akte stehen in 03 – Kundenakte.

Die zweite Einwilligung: KI-Foto-Erkennung

Unabhängig davon gibt es die Einwilligung in die KI-Foto-Erkennung im Ernährungsprotokoll. Auch sie erteilt und widerruft nur die Kund:in selbst — im Portal unter Einstellungen, Karte „Mahlzeiten per Foto". Der Text dort nennt Verarbeiter und Ort (Microsoft Azure OpenAI, EU/Frankfurt) und den Hinweis, dass auffällige Eingaben zur Missbrauchsprävention bis zu 30 Tage gespeichert werden können. Ohne diese Einwilligung bleiben Suche und Barcode-Scan.

6. Das Protokoll: was ist passiert?

Sidebar → System → Protokoll (/verwaltung/protokoll).

Die Seite besteht aus einem Filter und einer Tabelle. Protokolliert wird automatisch, du kannst nichts eintragen und nichts löschen.

Filter „Liste eingrenzen"

Beide Felder wirken sofort — die Liste lädt direkt bei der Auswahl neu. Der Filterstand steht danach in der Adresszeile und ist als Lesezeichen brauchbar; „Anwenden" bleibt nur als Rückfallebene stehen. Im Kopf steht, wie viele Einträge gerade gezeigt werden, und — sobald ein Bereich gewählt ist — der Link „Filter zurücksetzen". Der zurückgesetzte Filter lässt die gewählte Anzahl stehen: sie ist Arbeitskontext, kein Filter.

Die Tabelle

Wer wem welche Rechte gegeben hat

Die vier Bereiche Mitgliedschaft, Einladung, Benutzer und Support-Zugriff beantworten die Zugriffsfragen, die bei einer Prüfung zuerst kommen. Bei ihnen steht unter dem Vorgang eine zusätzliche Zeile „Betrifft … · durch …" — links, wen es traf, rechts, wer gehandelt hat.

Hinweis: Bei älteren Einträgen können statt der deutschen Begriffe noch die technischen Werte stehen (advisor, revoked). Sie werden beim Anzeigen übersetzt, wo das Muster erkennbar ist; unbekannte Werte bleiben wie geschrieben stehen. Der Name der betroffenen Person wird bewusst nicht im Protokolleintrag gespeichert, sondern beim Anzeigen aus der Mitgliederliste ergänzt — sonst würde er eine spätere Löschung überleben. Wer das Team verlassen hat, erscheint darum ohne Namenszeile.

Wer sieht wie viel

• Team-Admin sieht alle Vorgänge der Praxis.
• Coach sieht nur eigene Vorgänge: die eigenen Kund:innen, die eigenen Leads und die eigenen Aktionen. Im Kopf steht dann „· nur eigene Vorgänge".
• Kund:innen haben auf die Seite keinen Zugriff.

Was nicht im Protokoll landet

Reines Anschauen wird im Normalbetrieb nicht gespeichert — sonst bestünde das Protokoll nur noch aus Seitenaufrufen. Ereignisse auf „angesehen"/„aufgelistet" werden nur dann festgehalten, wenn der Zugriff im Rahmen einer Support-Sitzung erfolgte (siehe Abschnitt 8). Änderungen dagegen werden immer geschrieben.

Tipp: Für eine einzelne Person ist der Tab Verlauf in der Kundenakte der schnellere Weg — dort steht dasselbe Protokoll, schon auf diese Akte gefiltert.

Wie lange das Protokoll zurückreicht

Einträge bleiben ein Jahr stehen, danach räumt nutriam sie nachts automatisch ab. Das ist Absicht: Das Protokoll trägt Klarnamen, und eine unbegrenzte Historie wäre mehr gespeicherte Personendaten, als der Zweck hergibt (Art. 5 Abs. 1 lit. e DSGVO).

Eine Ausnahme: Vorgänge zu Rechnungen und Zahlungen bleiben. Sie dokumentieren den Lebenslauf eines Belegs (Festschreibung, Storno, Mahnstufen) und gehören damit zur steuerlichen Aufbewahrung des Belegs selbst. Wenn du eine Kundenakte DSGVO-konform löschst, verschwinden auch diese Einträge für diese Person.

Wenn du eine längere Historie brauchst, etwa für eine eigene Nachweispflicht: Das Protokoll ist nicht exportierbar (siehe Was hier noch fehlt). Sichere dir in dem Fall rechtzeitig einen Screenshot oder halte den Vorgang außerhalb fest.

7. Rechtliche Zustimmungen deiner Praxis

/verwaltung → Button „Rechtliche Zustimmungen" oben rechts.

Die Seite ist der Nachweis, welche Rechtsdokumente deine Praxis in welcher Fassung akzeptiert hat. Pro Zeile:

Ältere Zustimmungen bleiben als Veraltet stehen — die Historie ist der eigentliche Nachweis. Zwei Dokumente sind Pflicht: AGB und AVV. Den AVV schließt du dabei als Verantwortlicher ab, bevor du echte Kundendaten verarbeitest.

Wenn sich ein Dokument ändert

Nicht jede Änderung verlangt eine neue Unterschrift. Bei Klarstellungen (etwa präzisierten Anlagen) gilt deine bestehende Zustimmung weiter: Der Eintrag zeigt dann Gültig (ältere Fassung), und was sich geändert hat, steht auf der AVV-Seite im Abschnitt „Änderungen dieses Vertrags".

Nur bei wesentlichen Änderungen landest du als Team-Admin nach dem Login auf der Seite „Bitte erneut bestätigen." Bis das erledigt ist, sind für die Team-Admin-Rolle alle schreibenden Aktionen gesperrt; Lesen bleibt möglich, und Coaches arbeiten normal weiter. Nach der Bestätigung erscheint der Eintrag mit der Quelle Erneute Bestätigung in der Liste.

Die Seite fragt nur die Dokumente ab, die sich tatsächlich geändert haben, und schreibt zu jedem dazu, was neu ist. Hat sich nur der AVV geändert, siehst du auch nur den AVV: Ein Häkchen unter einem unveränderten Dokument würde nichts belegen und nur davon ablenken, worum es geht.

Unter dem Knopf steht die Adresse für Rückfragen und Widerspruch. Geht es um einen neuen Unterauftragsverarbeiter, räumt dir Ziffer 6 des AVV ein, aus wichtigem datenschutzbezogenem Grund zu widersprechen. Das läuft nicht über diese Seite, sondern über die genannte Adresse; melde dich in dem Fall, bevor du bestätigst.

Nicht jede neue Fassung löst diese Sperre aus: nutriam unterscheidet inhaltliche Änderungen (neue Pflichten, geänderte Verarbeitung, neue Subunternehmer) von redaktionellen, die bestehende Zusagen nur präzisieren oder ergänzen. Nur inhaltliche Änderungen verlangen die erneute Bestätigung. Bei einer redaktionellen Fassung bleibt deine bestehende Zustimmung gültig — die Zeile zeigt dann zwar eine ältere Versionsnummer, gesperrt wird nichts.

Aktueller Fall: AVV-Fassung avv-2026-09-03. Mit dieser Fassung kommt Azure Communication Services als Unterauftragsverarbeiter dazu, der Dienst hinter der Videoberatung. Weil ein neuer Unterauftragsverarbeiter eine inhaltliche Änderung ist und die Videoberatung nur für Praxen freigeschaltet wird, die dieser Fassung zugestimmt haben, bitten wir einmalig alle um eine erneute Bestätigung. Du siehst die Seite „Bitte erneut bestätigen." also auch dann, wenn du die Videoberatung gar nicht nutzen willst. Was genau sich geändert hat, steht auf der AVV-Seite im Abschnitt „Änderungen dieses Vertrags".

Achtung: Diese Seite dokumentiert dein Verhältnis zu nutriam, nicht die Einwilligungen deiner Kund:innen. Die Einwilligung in die Beratung selbst — inklusive Art.-9-Einwilligung für Gesundheitsdaten — holst und dokumentierst du außerhalb. Im Produkt erfasst sind nur die beiden Einwilligungen aus Abschnitt 5.

8. Wer kann sonst in deine Praxis sehen?

Der nutriam-Support kann für Störungsfälle eine Support-Sitzung auf einen Mandanten öffnen — entweder nur lesend oder als Zugriff im Namen eines Nutzers. Jede Sitzung trägt einen Grund und einen Zeitraum, und jede Änderung unter einer solchen Sitzung wird im Protokoll mit dem Vermerk zur Sitzung gespeichert. In diesem Modus werden zusätzlich die reinen Lesezugriffe mitgeschrieben.

Nachvollziehen kannst du das im Protokoll: Bereich Support-Zugriff zeigt Beginn und Ende jeder Sitzung samt Grund und der Person, die sie geöffnet hat. Eine eigene Sitzungsübersicht — mit laufendem Status und der Möglichkeit, eine Sitzung selbst zu beenden — gibt es in deinem Workspace weiterhin nicht; die liegt beim Betreiber (siehe „Was hier noch fehlt").

9. Zwei Abläufe für den Ernstfall

Auskunftsanfrage (Art. 15)

1. Identität der anfragenden Person prüfen — außerhalb der App.
2. Kundenakte öffnen → Tab Übersicht → Kundendaten exportieren (JSON).
3. Dateien ergänzen: der Export listet Dokumente nur auf. Die Dateien selbst lädst du im Tab Übersicht bzw. Fortschritt einzeln herunter.
4. Auskunft zusammenstellen und auf sicherem Weg übergeben.
5. Im Protokoll steht danach „Kundendaten exportiert" mit Zeitstempel — dein Nachweis, dass und wann du reagiert hast.

Löschantrag (Art. 17)

1. Prüfen, ob Aufbewahrungspflichten entgegenstehen — Rechnungen bleiben ohnehin erhalten, andere Unterlagen musst du selbst bewerten.
2. Vorher exportieren, wenn du den Verlauf dokumentieren willst.
3. Kundenakte → roter Block → Häkchen setzen → Kundendaten DSGVO-konform löschen.
4. Ergebnis prüfen: Die Akte heißt jetzt „Anonymisiert", steht auf Archiviert, der Portalzugang ist aus.
5. Der Vorgang „Kundendaten DSGVO-konform gelöscht" bleibt im Protokoll stehen.

Häufige Fragen

„Eine Kundin will wissen, welche Daten ihr über sie habt — was mache ich?" Kundenakte öffnen, Tab Übersicht, roter Block, Kundendaten exportieren (JSON). Die Datei enthält alles Strukturierte inklusive Rechnungen. Dokumente stehen nur als Liste drin, die Dateien lädst du separat herunter.

„Muss ich eine Akte löschen, wenn die Betreuung endet?" Nein. Der Normalfall ist Archivieren — alle Daten bleiben, die Akte verschwindet aus der Standardliste. Kommt die Kundin später zurück, setzt du die Akte in der Kundenakte unter Profil bearbeiten mit Betreuung wiederaufnehmen zurück auf Aktiv (als Team-Admin oder Coach). Löschen ist der Weg für einen echten Löschantrag oder ein Offboarding.

„Die Kundin will gelöscht werden, hat aber eine offene Rechnung." Die Löschung ändert nichts an Rechnungen, Zahlungen und Mahnungen — die bleiben aus steuerlichen Gründen bestehen und sind weiter bearbeitbar. Gelöscht werden nur die Gesundheits- und Kontaktdaten.

„Kann ich die Foto-Einwilligung für meine Kundin setzen?" Nein. Die Einwilligung kann ausschließlich die Kund:in selbst im Portal erteilen und widerrufen. Du siehst in der Akte nur den Stand.

„Im Tab Fortschritt fehlt der Foto-Block — ist etwas kaputt?" Nein. Der Block erscheint erst, wenn eine Einwilligung vorliegt oder mindestens ein Foto existiert. Ohne beides wird er ausgeblendet.

„Ich kann plötzlich nichts mehr speichern und lande auf einer Bestätigungsseite." Dann wurde eine neue Fassung von AGB oder AVV mit wesentlichen Änderungen veröffentlicht. Als Team-Admin bestätigst du sie einmalig; danach ist alles wieder frei. Die Bestätigung erscheint anschließend unter Rechtliche Zustimmungen. (Bloße Klarstellungen lösen diese Seite nicht aus — sie stehen im Abschnitt „Änderungen dieses Vertrags" auf der AVV-Seite.)

„Wer genau hat diesen Plan geändert?" Das Protokoll zeigt Zeitpunkt, Bereich, Vorgang und Ereignistyp — aber keine Personenspalte. Als Coach siehst du ohnehin nur eigene Vorgänge; als Team-Admin hilft oft der Detailtext des Eintrags weiter.

„Brauche ich einen AVV mit nutriam?" Ja, und du hast ihn: Er wird beim Einrichten des Teams abgeschlossen. Den Nachweis mit Version und Datum findest du unter Rechtliche Zustimmungen, den Vertragstext öffentlich unter /auftragsverarbeitung/vertrag. Eine Orientierung, was in deiner Praxis sonst noch zu tun ist, gibt die öffentliche DSGVO-Checkliste unter /dsgvo-checkliste.

Was hier noch fehlt

• Kaum Aufbewahrungsfristen im Produkt. Kundendaten, Dokumente und Rechnungen löscht nutriam nicht von selbst nach X Jahren; jede Löschung ist eine bewusste Aktion. Automatisch abgeräumt wird nur das Protokoll nach einem Jahr (siehe Abschnitt 6) und interne Zustell- und Betriebsdaten.
• Protokoll ohne Zeitraumfilter. Filtern kannst du nur nach Bereich und Anzahl (maximal die neuesten 100). Wer beteiligt war, steht bei den Team-Vorgängen in der Zeile „Betrifft … · durch …", ist aber keine eigene Spalte und nicht filterbar.
• Protokoll nicht exportierbar. Es gibt keinen CSV- oder JSON-Download, und der Gesamtexport der Praxisdaten enthält das Protokoll bewusst nicht.
• Der Art.-15-Export deckt nicht alles ab. Gewohnheiten, zugewiesene Formulare, Portal-Aufgaben und Sequenz-Zustellungen fehlen darin, obwohl sie bei einer Löschung entfernt werden. Dateien sind nur als Verzeichnis dabei.
• Keine Sitzungsübersicht für Support-Zugriffe. Die Vorgänge stehen im Protokoll (Bereich Support-Zugriff), eine Liste der laufenden Sitzungen mit der Möglichkeit, sie selbst zu beenden, gibt es in deinem Workspace aber nicht.
• Nur zwei Einwilligungen im Produkt. Fortschrittsfotos und KI-Foto-Erkennung. Alles andere — Beratungsvertrag, Art.-9-Einwilligung, Fotonutzung für Marketing — dokumentierst du außerhalb von nutriam.
• Kein Verarbeitungsverzeichnis, keine DSFA-Vorlage, kein Meldeworkflow für Datenschutzvorfälle in der App.