Rechtliches

Datenschutzerklärung

Diese Erklärung beschreibt, wie wir personenbezogene Daten bei der Nutzung von foodlex.app (Marketing-Seite) und app.foodlex.app (Web-Anwendung) verarbeiten. Geltungsbereich: Datenschutz-Grundverordnung (DSGVO) und Bundesdatenschutzgesetz (BDSG).

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Stephan Buchfink
Adlerstraße 26
68199 Mannheim
Deutschland
E-Mail: kontakt@foodlex.app

2. Datenschutzbeauftragter

Aufgrund der Größe und Art der Datenverarbeitung ist die Bestellung eines Datenschutzbeauftragten nicht gesetzlich erforderlich (§ 38 BDSG). Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an die oben genannte Kontakt-E-Mail.

3. Allgemeine Hinweise

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und unserer Inhalte und Leistungen erforderlich ist. Personenbezogene Daten werden nur mit Ihrer Einwilligung oder auf Grundlage einer gesetzlichen Erlaubnis verarbeitet.

4. Aufruf der Marketing-Seite (foodlex.app) — Server-Logs

Beim Aufruf von foodlex.app verarbeitet unser Hoster (Vercel Inc., siehe Abschnitt 9) automatisch technische Daten, die Ihr Browser übermittelt:

  • IP-Adresse
  • Datum und Uhrzeit des Zugriffs
  • Aufgerufene URL und Referrer
  • Browser-Typ und Betriebssystem (User-Agent)
  • Übertragene Datenmenge und HTTP-Statuscode

Zweck: Auslieferung der Inhalte, Gewährleistung der Stabilität und Sicherheit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb der Website).
Speicherdauer: Server-Logs werden bei Vercel standardmäßig nach kurzer Zeit anonymisiert oder gelöscht.

5. Reichweitenmessung (Umami, Google Analytics & Google Ads)

5.1 Umami (selbst gehostet, cookielos)

Wir setzen auf foodlex.app eine selbst gehostete Instanz der Open-Source-Analyse-Software Umami ein. Umami arbeitet vollständig cookielos und ohne Tracking-Identifier über Sitzungen oder Geräte hinweg und läuft unabhängig von einer Einwilligung.

Erfasste Daten:

  • Aufgerufene Seite
  • Referrer (woher der Besuch kam, falls vorhanden)
  • Browser- und Betriebssystem-Familie
  • Land (aus IP-Adresse abgeleitet, IP selbst wird gehasht und nicht gespeichert)
  • Auflösungsklasse des Bildschirms (z. B. „Mobile", „Desktop")
  • Ereignisse ohne Personenbezug — das Auslösen einer Schaltfläche und die dabei gewählte Angabe. Beispiel: auf der englischen Startseite lässt sich anklicken, nach welchem Regelwerk jemand Etiketten benötigt (etwa USA/FDA oder Vereinigtes Königreich). Gespeichert wird nur diese Angabe, verbunden mit den oben genannten Merkmalen — keine Eingabefelder, keine Kennung, die auf eine Person zurückführt.

Zweck: Verstehen, wie unsere Marketing-Inhalte angenommen werden, um sie zu verbessern, sowie erkennen, für welche Märkte und rechtlichen Regelwerke Bedarf besteht, um die Weiterentwicklung danach auszurichten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an datensparsamer Reichweitenmessung). Da Umami cookielos arbeitet und keine geräteübergreifenden Identifier setzt, ist nach gängiger Rechtsauffassung keine Einwilligung nach § 25 TDDDG erforderlich.
Auftragsverarbeitung: Die Umami-Instanz läuft auf Vercel (Hosting) mit einer Neon-PostgreSQL-Datenbank (siehe Abschnitt 9).
Speicherdauer: Aggregierte Statistiken unbefristet, IP-Hashes nach 30 Tagen rotiert.

5.2 Google Analytics 4 (nur mit Ihrer Einwilligung)

Zusätzlich setzen wir Google Analytics 4 (GA4) ein – jedoch ausschließlich dann, wenn Sie über unseren Cookie-Banner ausdrücklich eingewilligt haben. Ohne Einwilligung werden keine GA4-Cookies gesetzt und keine Daten an Google übermittelt (technisch umgesetzt über Google Consent Mode v2, Standardzustand „denied").

Dieselbe GA4-Property nutzen wir auch in der Web-App app.foodlex.app. Ihre über den Cookie-Banner getroffene Entscheidung gilt domainübergreifend – sie wird in einem Cookie auf .foodlex.app gespeichert und auch in der Web-App respektiert. Ohne Einwilligung findet auch dort keine GA4-Messung statt.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. unter Beteiligung der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Zweck: statistische Analyse des Nutzungsverhaltens auf foodlex.app sowie in der Web-App app.foodlex.app zur Reichweitenmessung, zur Messung von Registrierungen und Käufen (Conversion-Messung, auch für Google Ads) und zur Verbesserung des Angebots.
Verarbeitete Daten: u. a. gekürzte IP-Adresse, Geräte- und Browser-Informationen, aufgerufene Seiten, Verweildauer, Referrer sowie eine pseudonyme Nutzer-/Cookie-Kennung (Cookies _ga, _ga_*).
Speicherung auf Ihrem Gerät: neben den genannten Cookies legt die Web-App nach Ihrer Einwilligung Merker im lokalen Speicher des Browsers ab (Schlüssel foodlex.ev.*), damit die unten genannten Einmal-Ereignisse nicht doppelt gezählt werden. Ohne Einwilligung werden diese Merker nicht gesetzt.

Ereignisse: zusätzlich zu den Seitenaufrufen übermitteln wir einzelne Vorgänge als Ereignisse. Das sind im Einzelnen:

  • zur_app_click — Klick auf einen Link zur Web-App, mit der Beschriftung und der Ziel-Adresse des Links
  • rechner_benutzt — der kostenlose Nährwertrechner auf dieser Website wurde benutzt, mit der Anzahl der eingegebenen Zutaten. Höchstens einmal je Seitenaufruf. Die Zutaten selbst werden nicht übermittelt.
  • checker_benutzt — einer der kostenlosen Allergen-Checker auf dieser Website wurde benutzt, mit der Anzahl der erkannten Allergene. Höchstens einmal je Seitenaufruf. Der geprüfte Text selbst wird nicht übermittelt.
  • sign_up — abgeschlossene Registrierung, mit der Angabe der Methode („E-Mail")
  • first_recipe_created — das erste angelegte Rezept, höchstens einmal je Gerät
  • label_generated — das erste erzeugte Etikett bzw. Produktdatenblatt, höchstens einmal je Gerät und Art
  • ki_extract_start, ki_extract_erfolg und ki_extract_fehler — Beginn, Erfolg bzw. Fehlschlag einer KI-Auswertung, mit der Art der Auswertung („Lebensmittel aus Foto" oder „Rezept aus Datei"), der groben Dateigattung (PDF, Bild, anderes) und im Fehlerfall dem HTTP-Status sowie einer groben Fehlerursache. Weder der Dateiname noch der Dateiinhalt noch die erkannten Zutaten werden übermittelt.
  • fuehrung_start_auto, fuehrung_start_hilfe, fuehrung_zutat, fuehrung_fertig und fuehrung_abbruch_… — der Verlauf der Führung durch die Web-App: ob sie beim ersten Besuch von selbst oder über die Hilfe gestartet wurde, ob dabei eine Zutat hinzugefügt wurde, ob sie bis zum Ende durchlaufen wurde und, falls nicht, bei welchem Schritt sie beendet wurde (der Schritt steht im Namen des Ereignisses). Inhalte des Rezepts werden nicht übermittelt.
  • purchase — abgeschlossener Kauf, mit Vorgangsnummer sowie gegebenenfalls Betrag, Währung und gebuchtem Tarif. Zahlungsdaten werden nicht übermittelt — diese verarbeitet ausschließlich unser Zahlungsdienstleister.
  • kauf_wert — derselbe Kauf noch einmal, mit einem geschätzten Kundenwert statt dem gezahlten Betrag. Er dient allein der Erfolgsmessung unserer Werbung und enthält keine zusätzlichen Angaben über dich.

Rechtsgrundlage: Ihre Einwilligung gemäß § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.
Drittlandtransfer: Eine Übermittlung in die USA (Google LLC) ist möglich. Google ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.
Speicherdauer: die Aufbewahrung nutzerbezogener Daten ist auf 14 Monate begrenzt.
Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Link „Cookie-Einstellungen" im Seitenfuß. Ergänzend können Sie das Browser-Add-on zur Deaktivierung von Google Analytics nutzen: tools.google.com/dlpage/gaoptout.
Auftragsverarbeitung: Mit Google besteht ein Vertrag zur Auftragsverarbeitung (Google Ads/Analytics Data Processing Terms).

5.3 Werbemessung mit Google Ads (nur mit Ihrer Einwilligung)

Wir schalten Anzeigen in der Google-Suche. Mit Ihrer gesonderten Einwilligung („Werbemessung" im Cookie-Banner) messen wir, welche dieser Anzeigen zu einer Registrierung oder einem Kauf geführt hat. Technisch geschieht das über dieselbe GA4-Messung wie in Abschnitt 5.2: Die dort genannten Ereignisse werden an Google Ads weitergegeben und dem Klick auf die Anzeige zugeordnet.

Keine personalisierte Werbung. Die Einwilligung ad_personalization des Google Consent Mode bleibt bei uns dauerhaft auf „denied" – auch dann, wenn Sie „Alle akzeptieren" wählen. Ihre Daten werden also nicht dafür genutzt, Ihnen anderswo personalisierte Werbung auszuspielen.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. unter Beteiligung der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Zweck: Erfolgsmessung unserer eigenen Anzeigen – welche Anzeige und welcher Suchbegriff zu einer Registrierung oder einem Kauf geführt hat.
Verarbeitete Daten: die Kennung des Anzeigenklicks (Google Click Identifier, Parameter gclid in der aufgerufenen Adresse) sowie die in Abschnitt 5.2 genannten Ereignisse. Es werden keine weiteren Angaben über Sie übermittelt.
Cookies: _gcl_* (Google Ads), Speicherdauer bis zu 90 Tage. Ohne Ihre Einwilligung werden diese Cookies weder gesetzt noch gelesen.
Rechtsgrundlage: Ihre Einwilligung gemäß § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.
Drittlandtransfer: Eine Übermittlung in die USA (Google LLC) ist möglich. Google ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.
Voraussetzung: Die Werbemessung setzt die Statistik-Einwilligung aus Abschnitt 5.2 voraus. Lehnen Sie die Statistik ab, findet auch keine Werbemessung statt.
Widerruf: jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Seitenfuß.

6. Nutzung der Web-App (app.foodlex.app) — Konto und Inhalte

Die eigentliche Anwendung unter app.foodlex.app ist auf eine Konto-Anmeldung ausgelegt. Folgende Daten werden dabei verarbeitet:

6.1 Konto-Anmeldung (Authentifizierung)

  • E-Mail-Adresse (zur Anmeldung und Magic-Link-Authentifizierung)
  • Hashes des Passworts (kein Klartext-Speichern)
  • Letzter Login-Zeitpunkt, Anmeldeversuche

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, da die Konto-Anmeldung Voraussetzung für die Nutzung der App ist).
Auftragsverarbeiter: Supabase Inc. (siehe Abschnitt 9), Rechenzentrum eu-central-1 (Frankfurt).

6.2 Nutzerinhalte

In der App können Sie Lebensmittel, Rezepte, Wochenpläne und zugehörige Stammdaten anlegen. Diese Inhalte werden in Ihrem Konto bei Supabase (eu-central-1) gespeichert. Sie können jederzeit über die Backup-Funktion in der App (Header-Buttons ⤓ Export / ⤒ Import) Ihre Daten als JSON-Datei herunterladen oder einspielen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: Bis zur Konto-Löschung durch Sie oder Einstellung des Dienstes.

6.3 KI-Analyse von Lebensmittel-Etiketten und Rezepten

Wenn Sie über die App ein Foto oder PDF eines Lebensmittel-Etiketts oder Rezepts hochladen, wird der Inhalt zur strukturierten Auswertung an die KI-API von Anthropic, PBC (siehe Abschnitt 9) übermittelt. Die KI extrahiert dabei Zutaten, Nährwerte und Allergene aus dem Bild. Anthropic verarbeitet die übermittelten Inhalte gemäß seiner eigenen Datenschutzrichtlinie und speichert API-Eingaben standardmäßig nur kurzfristig zur Missbrauchs-Erkennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die KI-Analyse ist Kernfunktion der App).
Hinweis: Bitte laden Sie keine sensiblen oder urheberrechtlich geschützten Inhalte hoch, an deren Verarbeitung durch die Anthropic-API Sie keinen Rechtsanspruch haben.

6.4 Lokale Speicherung im Browser

Die App nutzt localStorage Ihres Browsers, um Einstellungen (z. B. Lokal-Modus-Präferenz, Sortier-Optionen, zuletzt geöffnete Ansicht) zu speichern. Es werden dabei keine personenbezogenen Daten an unsere Server übermittelt. Sie können den localStorage in den Einstellungen Ihres Browsers jederzeit leeren.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich für die vom Nutzer ausdrücklich gewünschte Funktion).

6.5 Zahlungsabwicklung bei kostenpflichtigen Tarifen (Stripe)

Für kostenpflichtige Tarife wickeln wir Zahlungen über den Zahlungsdienstleister Stripe (siehe Abschnitt 9) ab. Beim Abschluss eines kostenpflichtigen Tarifs werden die für die Zahlungsabwicklung erforderlichen Daten verarbeitet:

  • Name und E-Mail-Adresse
  • gewählter Tarif und Abrechnungszeitraum
  • Zahlungsmittel-Daten (z. B. Kartennummer) — diese geben Sie direkt auf der Bezahlseite von Stripe ein; wir selbst erhalten und speichern keine vollständigen Zahlungsmittel-Daten
  • eine Stripe-Kunden- und Abo-Kennung, die wir Ihrem Konto zuordnen

Zweck: Abwicklung des kostenpflichtigen Vertrags, Rechnungsstellung und Betrugsprävention.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten).
Speicherdauer: Zahlungs- und Rechnungsdaten werden gemäß den gesetzlichen Aufbewahrungsfristen (i. d. R. zehn Jahre) aufbewahrt.

6.6 Suchbegriffe ohne Treffer in der Zutatensuche

Wenn Sie in der App eine Zutat suchen und kein einziger Treffer gefunden wird, speichern wir den eingegebenen Suchbegriff, damit wir die Lebensmitteldatenbank gezielt ergänzen können. Beispiel: Wird häufig „Basmatireis" gesucht und nicht gefunden, nehmen wir diesen Eintrag auf.

Gespeichert wird ausschließlich:

  • der Suchbegriff in Kleinschreibung (z. B. „basmatireis")
  • der eingestellte Markt (z. B. „DE") und die Sprache der Oberfläche (z. B. „de")
  • ein Zähler, wie oft dieser Begriff insgesamt erfolglos gesucht wurde, sowie der erste und letzte Zeitpunkt

Nicht gespeichert wird — und zwar technisch ausgeschlossen, nicht nur zugesagt: Ihre Konto-Kennung, Ihre E-Mail-Adresse, Ihr Arbeitsbereich, Ihre IP-Adresse, Ihr Browser-Kennzeichen (User-Agent) und der Zeitpunkt der einzelnen Suche. Die Datenbank führt eine Zeile je Suchbegriff mit einem Zähler, nicht eine Zeile je Suchvorgang. Ein Rückschluss auf einzelne Personen oder auf den Verlauf einer einzelnen Sitzung ist daraus auch nachträglich nicht möglich.

Begriffe, die keine Zutat sein können, werden verworfen und nicht gespeichert — zu kurze Eingaben (unter drei Zeichen), Datenbank-Kennungen wie „C213100" und alles, was nicht wie ein Lebensmittelname aussieht. Gemeldet wird außerdem nur, was nach dem Tippen stehen bleibt, nicht jeder Tastendruck.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung und Fehlerbehebung unserer Lebensmitteldatenbank). Da keine personenbezogenen Merkmale erhoben werden, ist der Eingriff in Ihre Rechte sehr gering; ein überwiegendes gegenläufiges Interesse ist nicht erkennbar.
Auftragsverarbeiter: Supabase Inc. (siehe Abschnitt 9), Rechenzentrum eu-central-1 (Frankfurt).
Speicherdauer: Bis der Begriff in der Lebensmitteldatenbank ergänzt oder als nicht ergänzbar abgehakt ist, längstens 24 Monate.

Widerspruch: Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen — eine kurze E-Mail an die in Abschnitt 1 genannte Adresse genügt. Da die Daten keinen Personenbezug tragen, können wir einzelne Einträge allerdings nicht Ihnen zuordnen; wir deaktivieren die Erhebung dann für Ihr Konto.

6.7 Absturzmeldungen der App

Stürzt die App ab und zeigt die Seite „Etwas ist schiefgelaufen", übermittelt sie die technischen Angaben zu diesem Fehler an uns, damit wir ihn finden und beheben können. Das geschieht nur, wenn Sie angemeldet sind; im lokalen Modus ohne Konto wird nichts übermittelt.

Übermittelt wird ausschließlich:

  • die technische Fehlermeldung und die Stelle im Programmcode, an der der Fehler auftrat
  • die Fassung der App und der Zeitpunkt des Fehlers
  • die geöffnete Ansicht ohne Kennungen (z. B. „Rezeptansicht", nicht welches Rezept)
  • die Sprache der Oberfläche und der eingestellte Markt
  • das Browser-Kennzeichen (User-Agent), also Browser, Version und Betriebssystem
  • ob die App offline lief, aus dem Offline-Speicher (Service Worker) geladen war und sich bereits einmal selbst neu geladen hatte

Nicht gespeichert wird — und zwar technisch ausgeschlossen, nicht nur zugesagt: Ihre Konto-Kennung, Ihre E-Mail-Adresse, Ihr Arbeitsbereich, Ihre IP-Adresse und die Kennungen geöffneter Rezepte oder Zutaten. Die Meldung wird ohne Verknüpfung mit Ihrem Konto abgelegt. Die Fehlermeldung ist ein technischer Text des Programms; sie enthält in der Regel nichts, was Sie eingegeben haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, fehlerfreien Betrieb der App).
Auftragsverarbeiter: Supabase Inc. (siehe Abschnitt 9), Rechenzentrum eu-central-1 (Frankfurt).
Speicherdauer: 90 Tage, danach automatisch gelöscht.

Widerspruch: Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen — eine kurze E-Mail an die in Abschnitt 1 genannte Adresse genügt. Da die Meldungen nicht mit Ihrem Konto verknüpft sind, können wir einzelne Meldungen nicht Ihnen zuordnen; wir nehmen Ihr Konto dann von der Übermittlung aus.

6a. Videos (YouTube, Zwei-Klick-Lösung)

Auf einzelnen Seiten – etwa in Blog-Artikeln – binden wir Videos von YouTube ein. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Beim Aufruf der Seite wird nichts von YouTube geladen. Sichtbar ist zunächst nur ein Vorschaubild, das wir selbst von unserem eigenen Server ausliefern. Dabei entsteht keinerlei Verbindung zu Google.

Erst wenn Sie aktiv auf „Video abspielen“ klicken, wird der Player nachgeladen. Dabei wird eine Verbindung zu Servern von Google hergestellt; Ihre IP-Adresse und Informationen über die aufgerufene Seite werden dorthin übermittelt. Sind Sie während der Wiedergabe bei Google angemeldet, kann Google den Aufruf Ihrem Konto zuordnen.

Wir nutzen dabei die Variante youtube-nocookie.com („erweiterter Datenschutzmodus“). Google setzt dann nach eigenen Angaben erst Cookies, wenn Sie die Wiedergabe starten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO – Ihre Einwilligung, die Sie durch den bewussten Klick auf die Wiedergabe-Schaltfläche erteilen. Ohne diesen Klick findet keine Übermittlung statt.
Drittlandtransfer: Eine Verarbeitung in den USA (Google LLC) ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert.
Weitere Informationen: Datenschutzerklärung von Google.

7. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre E-Mail-Adresse sowie den Nachrichteninhalt zur Bearbeitung Ihrer Anfrage. Empfang, Versand und Speicherung erfolgen über Google Workspace (siehe Abschnitt 9); kontakt@foodlex.app ist ein Alias unseres Postfachs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen / Anfragebeantwortung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Speicherdauer: Bis zum Abschluss der Korrespondenz, anschließend gemäß gesetzlicher Aufbewahrungsfristen.

8. Cookies & Einwilligung

Die Marketing-Seite foodlex.app setzt von sich aus keine Cookies – die Reichweitenmessung mit Umami ist cookielos. Google Analytics 4 (Abschnitt 5.2) setzt Cookies jedoch erst, nachdem Sie über unseren Cookie-Banner eingewilligt haben. Über den Link „Cookie-Einstellungen" im Seitenfuß können Sie Ihre Auswahl jederzeit ändern oder widerrufen; Ihre Entscheidung wird lokal in Ihrem Browser gespeichert (in einem Cookie auf .foodlex.app, damit sie für die Marketing-Seite und die Web-App gemeinsam gilt).

Der Banner kennt zwei getrennte Einwilligungen: Statistik (Google Analytics 4, Abschnitt 5.2, Cookies _ga, _ga_*) und Werbemessung (Google Ads, Abschnitt 5.3, Cookies _gcl_*). Sie können einzeln zustimmen. Personalisierte Werbung ist in keinem Fall dabei.

Die Web-App app.foodlex.app setzt technisch erforderliche Cookies bzw. Speichermechanismen (Session-Cookie von Supabase für die Anmeldung, localStorage für App-Einstellungen). Zusätzlich kommt – nur mit Ihrer Einwilligung (siehe Abschnitt 5.2) – Google Analytics 4 mit denselben Cookies (_ga, _ga_*) zum Einsatz; ohne Einwilligung werden auch hier keine GA4-Cookies gesetzt. Ihre auf foodlex.app getroffene Entscheidung gilt dabei domainübergreifend.

9. Auftragsverarbeiter und Drittländer-Transfer

Wir setzen folgende Dienstleister im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DSGVO ein:

Vercel Inc. — Hosting

Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA
Verarbeitet: Server-Logs (siehe Abschnitt 4), statische Auslieferung der Marketing-Seite und der App.
Drittland: USA — Datenübermittlung erfolgt unter den Standardvertragsklauseln (SCCs) der EU-Kommission und den ergänzenden Maßnahmen von Vercel.
Datenschutz: vercel.com/legal/privacy-policy

Supabase Inc. — Authentifizierung und Datenbank

Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992
Verarbeitet: Konto-Daten, Nutzerinhalte (siehe Abschnitt 6).
Rechenzentrum: eu-central-1 (Frankfurt am Main, Deutschland). Datenverarbeitung erfolgt innerhalb der EU.
Datenschutz: supabase.com/privacy

Anthropic, PBC — KI-API

Anthropic, PBC, 548 Market St PMB 90375, San Francisco, CA 94104, USA
Verarbeitet: Hochgeladene Bilder/PDFs zur Extraktion von Zutaten und Nährwerten (siehe Abschnitt 6.3).
Drittland: USA — Datenübermittlung erfolgt unter den Standardvertragsklauseln (SCCs).
Datenschutz: anthropic.com/legal/privacy

Neon, Inc. — Datenbank für Reichweitenmessung

Neon, Inc., 251 Little Falls Drive, Wilmington, DE 19808, USA
Verarbeitet: Aggregierte Reichweiten-Statistiken der Umami-Instanz (siehe Abschnitt 5).
Drittland: USA (Region iad1 / US East) — Datenübermittlung erfolgt unter den Standardvertragsklauseln (SCCs).
Datenschutz: neon.tech/privacy-policy

Google Ireland Limited — Webanalyse und Werbemessung (Google Analytics 4, Google Ads)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, Mountain View, CA, USA.
Verarbeitet: Nutzungsdaten zur statistischen Reichweitenmessung sowie die Kennung des Anzeigenklicks zur Erfolgsmessung unserer Anzeigen — nur nach Ihrer Einwilligung (siehe Abschnitte 5.2 und 5.3).
Drittland: USA — zertifiziert unter dem EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln (SCCs).
Datenschutz: policies.google.com/privacy

Stripe Payments Europe, Ltd. — Zahlungsabwicklung

Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland
Verarbeitet: Zahlungs- und Vertragsdaten bei kostenpflichtigen Tarifen (siehe Abschnitt 6.5).
Drittland: Eine Übermittlung in die USA (Stripe, Inc.) ist möglich; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend bestehen Standardvertragsklauseln (SCCs).
Datenschutz: stripe.com/privacy

Google Ireland Limited — E-Mail-Postfach (Google Workspace)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, Mountain View, CA, USA.
Verarbeitet: Empfang, Versand und Speicherung unserer geschäftlichen E-Mails, einschließlich der an kontakt@foodlex.app gerichteten Nachrichten (siehe Abschnitt 7).
Drittland: USA — zertifiziert unter dem EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln (SCCs).
Datenschutz: policies.google.com/privacy

10. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte:

  • Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten
  • Berichtigung (Art. 16 DSGVO) unrichtiger Daten
  • Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO) — in der App über die Backup-Export-Funktion direkt umsetzbar
  • Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Basis berechtigter Interessen
  • Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Zur Geltendmachung dieser Rechte wenden Sie sich bitte an kontakt@foodlex.app.

11. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder mutmaßlichen Verstoßes (Art. 77 DSGVO).

12. Sicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS / TLS 1.2 oder höher. Passwörter werden ausschließlich als Hash-Wert über bcrypt/argon2 in Supabase gespeichert; ein Klartext-Zugriff ist auch uns nicht möglich.

13. Änderungen dieser Erklärung

Mit der Weiterentwicklung von Foodlex können sich Änderungen an dieser Datenschutzerklärung ergeben. Die jeweils aktuelle Fassung ist unter foodlex.app/datenschutz abrufbar.

Stand: