Datenschutz­erklärung

1. Verantwortlicher

2. Welche Daten wir verarbeiten

Konto-, Haushalts-, Abo- und KI-Daten verarbeiten wir zur Bereitstellung der App und ihrer Funktionen (Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung). Wo eine andere Rechtsgrundlage gilt, steht sie beim jeweiligen Punkt.

• Konto: Meldest du dich mit E-Mail an, speichern wir deine E-Mail-Adresse und dein Passwort (verschlüsselt). Dazu kommt der Name oder Spitzname, den du bei der Registrierung angibst. Die Mitglieder deines Haushalts sehen ihn, zum Beispiel in Mitteilungen; ändern kannst du ihn in den Einstellungen unter „Konto“.
• Anmeldung mit Apple oder Google: Meldest du dich mit Apple oder Google an, übermittelt uns der Anbieter deine E-Mail-Adresse und deinen Namen; ein Passwort speichern wir dann nicht. Bei Apple entscheidest du selbst, ob du deinen Namen teilst und ob du deine E-Mail-Adresse verbirgst – dann erhalten wir nur eine anonyme Weiterleitungsadresse von Apple. Google übermittelt zusätzlich die Adresse deines Profilbilds, die wir nicht verwenden. Den übernommenen Namen sehen die Mitglieder deines Haushalts wie oben beschrieben.
• Haushaltsdaten: Einkaufsliste, Essensplan, Rezepte, Bewertungen, hochgeladene Fotos und die Einstellungen des Haushalts (etwa Mahlzeiten, Personenzahl und ausgeschlossene Zutaten) – geteilt mit den Mitgliedern deines Haushalts.
• Einkaufsliste per Link teilen: Teilst du deine Einkaufsliste per Link, kann jede Person, die den Link hat, ohne App und ohne Konto im Browser die Artikelnamen, Mengen und Notizen, die Kategorien und den Abhak-Status der Liste sehen und Artikel abhaken oder wieder öffnen. Essensplan, Rezepte, Namen und Mitglieder deines Haushalts sieht sie nicht. Nur wenn du es ausdrücklich erlaubst, bietet die Seite der Person zusätzlich an, dem Haushalt beizutreten; dafür gibt sie ihr den Einladungscode deines Haushalts heraus. Der Link läuft nach höchstens 30 Tagen ab und endet spätestens mit dem Haushalt; du kannst ihn jederzeit in den Einstellungen der App zurückziehen. Auf unserem Server speichern wir nur einen Hash des Links, nicht den Link selbst. Du entscheidest, mit wem du den Link teilst. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Was beim Öffnen der Seite im Browser geschieht, steht im Abschnitt „Website (tellerino.app)“.
• Kamera, Fotos und Videos: Nur wenn du ein Rezeptfoto aufnimmst, aus deiner Galerie auswählst oder ein gespeichertes Video für den Import auswählst, greift die App auf Kamera bzw. Mediathek zu. Es werden keine weiteren Fotos oder Videos gelesen; der Zugriff erfolgt nur, wenn du ihn selbst auslöst.
• Zwischenablage: Hast du noch keinen Haushalt, prüft die App beim ersten Start einmal, ob in der Zwischenablage ein Einladungs- oder Geschenk-Code liegt, den du zuvor auf unserer Website kopiert hast. Der Inhalt bleibt auf deinem Gerät; nur einen erkannten Code, den du übernimmst, schickt die App zum Einlösen an unseren Server.
• Mitteilungen: Schaltest du in den Einstellungen unter „App“ die „Partner-Mitteilungen“ ein, meldet die App dein Gerät beim Push-Dienst von Expo (650 Industries, Inc., USA) an, und wir speichern das Push-Token (eine Adresse, über die Mitteilungen dein Gerät erreichen) zusammen mit Plattform und App-Sprache. Setzt ein anderes Mitglied etwas auf die Einkaufsliste oder tritt jemand deinem Haushalt bei, schickt unser Server die Mitteilung über Expo, das sie über Apple bzw. Google zustellt. Die Mitteilung enthält den Namen des Mitglieds und den Artikel, etwa „Anna hat Milch auf die Liste gesetzt“. Schaltest du die Mitteilungen aus oder meldest du dich ab, löschen wir das Push-Token dieses Geräts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
• App-Aktualisierungen: Beim Start fragt die App beim Update-Dienst von Expo (EAS Update, 650 Industries, Inc., USA) nach, ob es eine neuere Fassung der App-Inhalte gibt, und lädt sie gegebenenfalls herunter. Dabei werden deine IP-Adresse, eine zufällige Kennung dieser Installation, die Plattform, die App-Version und der Update-Kanal übermittelt, aber keine Konto- oder Haushaltsdaten. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), Fehlerbehebungen schnell auszuliefern.
• Schutz vor Missbrauch: Damit nur die echte Tellerino-App unsere Server-Funktionen nutzen kann, weist sie sich über Firebase App Check aus: auf Apple-Geräten mit App Attest von Apple, auf Android mit Play Integrity von Google. Apple bzw. Google bestätigen dabei, dass die Anfrage aus der unveränderten App auf einem echten Gerät kommt; geprüft werden technische Merkmale von Gerät und App, keine Namen oder E-Mail-Adressen. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am Schutz unserer Dienste vor Missbrauch.
• Abo-Verwaltung: Damit die App deinen Abo-Status kennt und Tellerino Pro freischalten kann, übermittelt sie deine Nutzer-Kennung (eine zufällige Zeichenfolge) und nach einem Kauf deinen Kaufstatus an RevenueCat (USA). Deine Zahlungsdaten verbleiben bei Apple bzw. Google.
• Nutzung der KI-Funktionen: Von dir eingegebene oder mit Tellerino geteilte Links, Fotos und Texte werden zur Rezept-Erkennung bzw. -Erstellung an OpenAI (USA) übermittelt; beim Video-Datei-Import gilt zusätzlich der folgende Punkt. Für Rezept-Ideen und die automatische Wochenplanung sendet unser Server außerdem die dafür nötigen Haushaltseinstellungen (etwa Mahlzeit, Personenzahl, gewünschte Mischung aus Gerichten mit Fleisch, Fisch und vegetarischen Gerichten sowie ausgeschlossene Zutaten) und die Namen kürzlich gespeicherter oder schlecht bewerteter Rezepte, damit sich nichts wiederholt. Es werden keine Kontodaten mitgesendet.
• Video-Datei-Import: Wählst du in der App ein gespeichertes Video aus deiner Mediathek aus, lädt die App die Datei zuerst in den Dateispeicher von Google Firebase (EU-Region). Unser Server trennt daraus die Tonspur und einige Einzelbilder ab und übermittelt sie an OpenAI (USA): die Tonspur zur Umwandlung in Text (Transkription), das Transkript und die Einzelbilder zur Rezept-Erkennung. Die Videodatei wird nach der Verarbeitung gelöscht; bleibt sie etwa nach einem Abbruch liegen, löscht der Dienst sie spätestens nach einem Tag automatisch. Die Tonspur kann Stimmen und Hintergrundgeräusche enthalten; wähle deshalb nur Videos aus, die du dafür verwenden darfst. Es werden keine Kontodaten mitgesendet. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Rezept-Links: Bei der Erkennung aus einem Link ruft unser Server automatisiert den Inhalt der von dir eingegebenen Webseite ab (inkl. eines eventuellen Vorschaubilds), um daraus das Rezept zu erkennen.
• Direkte Abrufe vom Gerät: Einige Inhalte lädt die App direkt, ohne Umweg über unseren Server: Rezeptbilder kommen je nach Rezept von Pexels, von der Website, von der das Rezept stammt, oder als Vorschaubild von YouTube. Blockiert eine Rezept-Website den Abruf durch unseren Server, lädt die App die Seite einmal selbst und schickt ihren Inhalt zur Erkennung an unseren Server. Der jeweilige Anbieter sieht dabei die IP-Adresse deines Geräts und übliche technische Angaben wie Betriebssystem und App-Version; was er davon speichert, entscheidet er selbst.
• Absturzberichte: Bei einem technischen Fehler übermitteln wir automatisch einen Fehlerbericht (betroffene Funktion, Gerätetyp, App-Version) an Sentry, damit wir Fehler beheben können. Dabei werden keine Namen, E-Mail-Adressen oder IP-Adressen übermittelt – lediglich deine pseudonyme Nutzer-Kennung (eine zufällige Zeichenfolge), damit zusammengehörige Meldungen erkennbar sind. Diese Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an einer funktionierenden App und ist nicht abschaltbar.
• Nutzungsstatistik: Nur wenn du ausdrücklich zustimmst, erfassen wir mit dem Dienst PostHog pseudonymisiert, wie die App genutzt wird. Erfasst werden: das Öffnen der App, welche Funktionen wie oft genutzt werden (z. B. ob die Rezept-Ideen-Funktion verwendet wurde), einzelne Meilensteine (Haushalt angelegt oder beigetreten, Einrichtung abgeschlossen, Artikel zur Liste hinzugefügt, Rezept gespeichert, Woche geplant, Einladung verschickt, Liste per Link geteilt, Pro-Angebot angezeigt oder gekauft, Geschenk-Code eingelöst) sowie die Anzahl der Personen in deinem Haushalt. Dabei wird deine Nutzer-Kennung (eine zufällige Zeichenfolge) mitübertragen, damit zusammengehörige Ereignisse erkennbar sind; Namen, E-Mail-Adressen, Rezeptinhalte oder Angaben zu anderen Haushaltsmitgliedern werden nicht übermittelt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du beim ersten App-Start erteilst oder ablehnst und jederzeit in den Einstellungen unter „App verbessern“ widerrufen oder erteilen kannst.

3. Dienstleister und weitere Empfänger

Diese Dienstleister verarbeiten Daten in unserem Auftrag:

• Google Firebase (Anmeldung, Datenbank, Dateispeicher, Server-Funktionen, App Check und das Hosting dieser Website; Anbieter ist ein US-Konzern). Datenbank, Dateispeicher und Server-Funktionen laufen in der EU; die Anmeldung (Firebase Authentication) verarbeitet Google ausschließlich in den USA.
• OpenAI (KI-Rezeptfunktionen, einschließlich Transkription der Tonspur beim Video-Datei-Import, USA)
• RevenueCat (Abo-Verwaltung, USA)
• Expo (Zustellung der Mitteilungen und App-Aktualisierungen; 650 Industries, Inc., USA)
• Sentry (Absturzberichte; EU-Region, Betrieb durch Functional Software, Inc., USA)
• PostHog (Nutzungsstatistik der App, nur mit Einwilligung, und einzelne Ereignisse der Website; EU-Region)
• Cloudflare (Besucherstatistik der Website; Cloudflare, Inc., USA)
• Pexels (Rezeptfotos: Unser Server übermittelt nur einen Suchbegriff; das gefundene Foto lädt die App direkt, siehe Abschnitt 2)
• YouTube Data API von Google (Auslesen von Videobeschreibungen bei YouTube-Links)

Außerdem erhalten Daten, soweit du die jeweilige Funktion nutzt: Apple und Google als Betreiber der App-Stores, der Anmeldung mit Apple bzw. Google, der Echtheitsprüfung (App Attest, Play Integrity) und der Zustellung von Mitteilungen sowie Rezept-Websites und YouTube, wenn die App Bilder oder Seiten direkt lädt.

Soweit dabei Daten in die USA übermittelt werden, stützt sich die Übermittlung auf das EU-US Data Privacy Framework, soweit der jeweilige Anbieter dort zertifiziert ist, und im Übrigen auf EU-Standardvertragsklauseln.

4. Speicherdauer und Löschung

Deine Daten bleiben gespeichert, solange dein Konto besteht. Du kannst dein Konto in den Einstellungen jederzeit selbst löschen. Gemeinsame Haushaltsdaten verbleiben beim Haushalt, solange noch jemand drin ist; bist du das letzte Mitglied, löschen wir den Haushalt mit allen Daten. Sicherungskopien der Datenbank laufen nach spätestens sieben Tagen ab. Videodateien des Video-Datei-Imports löschen wir nach der Verarbeitung, spätestens nach einem Tag. Was genau gelöscht wird und was bleibt, steht unter tellerino.app/account-deletion.

5. Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie Beschwerde bei einer Aufsichtsbehörde. Kontakt: support@tellerino.app.

6. Datenexport (Recht auf Datenübertragbarkeit, Art. 20 DSGVO)

Um eine Kopie deiner Daten in einem gängigen, maschinenlesbaren Format (z. B. JSON) zu erhalten, schreib uns einfach an support@tellerino.app. Wir bearbeiten deine Anfrage innerhalb von 30 Tagen und senden dir die Daten an die E-Mail-Adresse deines Kontos.

7. Website (tellerino.app)

Diese Website liegt bei Google Firebase Hosting. Beim Aufruf verarbeitet Google deine IP-Adresse und bewahrt sie nach eigenen Angaben einige Monate in Server-Protokollen auf, um Missbrauch zu erkennen. Wir setzen keine Cookies. Nur wenn du im Sprachmenü selbst eine Sprache wählst, merkt sich dein Browser diese Wahl. Zwei Dienste helfen uns zu verstehen, ob die Seite ihren Zweck erfüllt:

• Cloudflare Web Analytics zählt Seitenaufrufe cookielos und ohne Nutzerprofile; deine IP-Adresse wird dabei technisch verarbeitet, aber nicht gespeichert (Anbieter: Cloudflare, Inc., USA). Auf den Einladungs- und Geschenkseiten (tellerino.app/join/… und tellerino.app/gift/…) setzen wir Cloudflare Web Analytics nicht ein.
• An PostHog (EU-Region) übermitteln wir einzelne Ereignisse, ohne dauerhafte Kennung und ohne Profil: wenn du einen Store-Knopf oder den Verweis „Im Browser nutzen“ drückst (welcher Store bzw. Web-App, Seitensprache, Stelle auf der Seite und Herkunft wie „tiktok“) sowie auf der Einladungs- und der Geschenkseite, wenn die Seite geöffnet, der Code kopiert oder ein Store-Knopf gedrückt wird. Diese Ereignisse enthalten die Seitensprache, den Gerätetyp (iOS, Android oder Computer), beim Store-Knopf den gewählten Store und beim Öffnen die Angabe, ob die Adresse einen Code im gültigen Format enthielt – niemals den Code selbst. Deine IP-Adresse verarbeitet PostHog dabei technisch.

Listen-Seite (tellerino.app/l/…): Öffnest du einen geteilten Einkaufslisten-Link, verarbeiten Google Firebase Hosting und die Server-Funktion, die die Liste ausliefert, deine IP-Adresse technisch; die Protokolle der Funktion werden etwa 30 Tage aufbewahrt, für das Hosting gilt die oben genannte Dauer. Der Schlüssel des Links steht hinter dem „#“ der Adresse, den dein Browser nicht an Server sendet, und geht nur im Anfragekörper an die Funktion – nie in der Adresse und nie an PostHog. Dein Browser speichert dort (localStorage) den Link-Schlüssel, eine Kopie der zuletzt gesehenen Liste (samt dem Zeitpunkt, zu dem du sie zuletzt geöffnet hast) und noch nicht übertragene Haken, damit die Liste im Laden auch ohne Netz da ist und beim Start vom Home-Bildschirm klar ist, welche Liste gemeint ist. Das ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und braucht keine Einwilligung. Cookies setzen wir auch dort nicht, Cloudflare Web Analytics kommt dort ebenfalls nicht zum Einsatz.

Auf der Listen-Seite übermitteln wir an PostHog (EU-Region) einzelne Ereignisse ohne dauerhafte Kennung und ohne Link-Schlüssel: wenn die Seite geöffnet wird (Zustand wie „gültig“ oder „abgelaufen“, Gerätetyp, Seitensprache und die grobe Zahl der Artikel in Stufen wie „1–10“), die Anzahl abgehakter Artikel beim Verlassen der Seite sowie wenn ein Store-Knopf, der Knopf „Im Browser nutzen“ oder der Knopf „Mitplanen“ gedrückt wird. Artikelnamen und Haushaltsdaten werden dabei nie übermittelt. Deine IP-Adresse verarbeitet PostHog technisch.

Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer funktionierenden, sicheren und auffindbaren Website.