Datenschutzerklärung

1. Verantwortlicher

Marco Middeldorff

Ruppiner Straße 23

51107 Köln, Deutschland

E-Mail: marco@marco-middeldorff.de

2. Profil beim ersten Start

Beim ersten Start legt die App ein anonymes Profil auf meinem Server an. Dafür gibst du nur einen Namen ein, der auch ein Spitzname sein kann. Der Server vergibt dir eine zufällige Benutzer-ID und einen eindeutigen Freundescode. Zusätzlich erzeugt die App einen Sicherheitscode, mit dem du dein Profil auf einem neuen Gerät wiederherstellen kannst. Der Server speichert ihn nur als Hash, also nicht im Klartext. Auf iOS kannst du ihn mit Face ID schützen. Die Prüfung übernimmt iOS; biometrische Daten erhalte ich nicht.

Optional kannst du ein Profilbild hochladen. Name und Profilbild sehen die Mitglieder deiner geteilten Listen sowie andere Nutzer bei deinen veröffentlichten Rezepten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da diese Daten für die Nutzung der App erforderlich sind.

3. Einkaufslisten, Einladungen und Synchronisation

Damit Listen zwischen deinen Geräten und mit anderen Personen geteilt werden können, speichert der Server deine Listen mit Artikeln, Kurzinfos, Markierungen, optionalen Artikelfotos und Supermarkt-Grundrissen. Mitglieder einer Liste sehen deren Inhalte und wer einen Artikel zuletzt geändert hat. Über den Freundescode kannst du andere Nutzer zu deinen Listen einladen. Dafür speichert der Server, wer wen zu welcher Liste eingeladen hat und ob die Einladung angenommen wurde.

Teilst du einen Grundriss über einen Code, speichert der Server eine Kopie, die jeder mit dem Code abrufen kann. Legst du persönliche API-Schlüssel an, etwa für Kurzbefehle oder Home Assistant, speichert der Server nur deren Hash, den Namen sowie Erstellungs- und letzten Nutzungszeitpunkt.

Damit die App auch ohne Internetverbindung funktioniert, liegt eine Kopie deiner Daten zusätzlich auf deinem Gerät und, falls vorhanden, deiner Apple Watch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4. Rezepte

In der App findest du Rezepte aus dem Wikibooks-Kochbuch (Lizenz CC BY-SA). Sie liegen auf meinem Server, Wikibooks wird dabei nicht aufgerufen. Du kannst außerdem eigene Rezepte anlegen. Veröffentlichte Rezepte sind zusammen mit deinem Namen und Profilbild für andere Nutzer sichtbar.

Du kannst Rezepte melden und andere Nutzer blockieren. Dafür speichert der Server, wer welches Rezept mit welcher Begründung gemeldet hat und wen du blockiert hast. Gemeldete Rezepte können bis zur Prüfung ausgeblendet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Rezeptfunktion und Art. 6 Abs. 1 lit. f DSGVO für die Moderation; mein berechtigtes Interesse ist der Schutz der Nutzer vor rechtswidrigen oder unangemessenen Inhalten.

5. Kamera und Barcode-Scan

Die App nutzt die Kamera nur, wenn du sie dafür freigibst, um Barcodes zu scannen und Fotos von Artikeln aufzunehmen. Das Kamerabild wird auf dem Gerät ausgewertet und nicht übertragen. Nur Fotos, die du einem Artikel hinzufügst, werden hochgeladen.

Um den Namen zu einem gescannten Barcode zu finden, fragt die App die Produktdatenbank Open Food Facts ab (Open Food Facts, Frankreich, Datenschutzerklärung). Dabei werden die Barcode-Nummer, deine IP-Adresse und die App-Version übertragen, aber keine Daten aus deinem Profil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Den Kamerazugriff kannst du jederzeit in den Einstellungen deines Geräts widerrufen.

6. Push-Mitteilungen

Wenn du Mitteilungen erlaubst, erhält die App auf iOS von Apple ein Gerätetoken, das sie an meinen Server sendet. Auf Android meldet sich die App für Mitteilungen direkt bei meinem Server an. Der Server nutzt diese Angaben, um dich etwa über neue Artikel oder Einladungen zu informieren. In der App wählst du, welche Ereignisse du erhalten möchtest. Zugestellt werden die Mitteilungen auf iOS über den Apple Push Notification Service (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland). Auf Android stellt mein eigener Server sie zu, ohne einen Push-Dienst von Google oder einem anderen Anbieter. Sie enthalten den Listennamen, den Namen des auslösenden Mitglieds und die betroffenen Artikel.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du jederzeit in den Einstellungen deines Geräts widerrufen kannst. Ungültig gewordene Tokens löscht der Server automatisch.

7. Server und Hosting

Mein Server läuft bei der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland, im Rechenzentrum von netcup in Nürnberg. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei jeder Verbindung verarbeitet der Server technisch bedingt deine IP-Adresse. Er nutzt sie nur kurzzeitig im Arbeitsspeicher, um Missbrauch durch zu viele Anfragen zu begrenzen, und speichert sie nicht dauerhaft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

8. Speicherdauer und Löschung

Deine Daten bleiben gespeichert, solange du die App nutzt. Über „Einstellungen → Alle Daten löschen“ kannst du dein Profil jederzeit löschen. Dabei entfernt der Server dein Profil, deine Mitgliedschaften, alle Listen, deren Eigentümer du bist, deine Rezepte, Meldungen, Blockierungen, Gerätetokens und API-Schlüssel. Kopien geteilter Grundrisse enthalten keinen Bezug zu deiner Person. Wenn du die App löschst, werden auch die Daten auf deinem Gerät entfernt.

9. Deine Rechte

Du hast gegenüber mir folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Da die App ohne E-Mail-Adresse auskommt, kann ich dich nur über deinen Freundescode zuordnen. Gib ihn bitte an, wenn du mir schreibst. Zudem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

10. Änderungen dieser Datenschutzerklärung

Ich passe diese Datenschutzerklärung an, sobald sich die App oder die rechtlichen Anforderungen ändern. Es gilt jeweils die hier veröffentlichte Fassung.