Datenschutzerklärung

1.Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist: DBBC Ventures GmbH Platanenstr. 45, 13156 Berlin, Deutschland Telefon: +49 30 9798 2686 E-Mail: hello@getsuperkitchen.com Eingetragen beim Amtsgericht Berlin (Charlottenburg) unter HRB 256898.

2.Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, da die gesetzlichen Voraussetzungen hierfür derzeit nicht vorliegen (§ 38 BDSG). Bei Fragen zum Datenschutz erreichen Sie uns unter hello@getsuperkitchen.com.

3.Rollen nach der DSGVO

Bei personenbezogenen Daten, die Sie als Familie im Rahmen der Nutzung des Dienstes einstellen (z. B. Namen von Familienmitgliedern, Geburtstage, Rezepte, Wochenpläne, Vorräte, Wünsche, Fotos), handelt die jeweilige Familie als Verantwortlicher und wir als Auftragsverarbeiter.

Für die Verarbeitung Ihrer Kontodaten, Authentifizierungsdaten und technischen Logs sowie für die Werbemessung (7h.) sind wir selbst Verantwortlicher. Diese Erklärung betrifft beide Verarbeitungen.

4.Kategorien verarbeiteter Daten

Konto- und Profildaten: E-Mail-Adresse, Name, Avatar, Spracheinstellung.

Familienprofil: Familienname, Mitglieder mit Name, Foto, Geburtstag, Geschlecht, Ernährungsform und Familienrolle (Owner, Chef, Sous Chef, Kind).

Authentifizierungsdaten: Hash der E-Mail, OAuth-Provider-IDs (Google, Apple), Session-Token, Einmalcode-Token.

Geräte-Token: ein technisches Push-Token Ihres Geräts, sofern Sie Push-Benachrichtigungen aktivieren.

Nutzungsdaten: Von Ihnen erstellte Rezepte, Wochenpläne, Vorräte, Einkaufslisten (mit der Zahl der Einkäufe je Artikel für die Favoriten), Wünsche, Bewertungen, Kommentare, Fotos und Zeitstempel.

Rezeptquellen: Bei Rezepten, die Sie per Link importieren, der Link zum Originalbeitrag bzw. zur Originalseite sowie Name oder Handle des Urhebers (etwa „@maxxpane“), zugeordnet zum jeweiligen Rezept; dazu das Titelbild des Beitrags als privates Foto Ihrer Familie.

Bestätigungs-Protokolle: Dokumentenversion, Zeitstempel sowie Zuordnung zu Konto und Familie, zum Nachweis der Bestätigung von Nutzungsbedingungen, Datenschutzerklärung und Eltern-Einwilligung.

Technische Logs: IP-Adresse, HTTP-Statuscode, aufgerufener Pfad, Zeitstempel, User-Agent, für Fehleranalyse und Missbrauchsabwehr.

Diagnosedaten: Absturz- und Hänger-Berichte, die iOS der App bereitstellt (MetricKit), sowie Fehlermeldungen der Apps und der Browser-Version, in der iPhone-App mit App-Version, iOS-Version und Gerätetyp, jeweils zugeordnet zu Ihrem Konto und Ihrer Familie; ohne Inhalte, Namen oder E-Mail-Adressen. Zu Absturzberichten über Google Play siehe 6d.

Nutzungsstatistik: Die Tage, an denen Sie die App oder die Browser-Version geöffnet haben, mit Zeitstempel und zugeordnet zu Ihrem Konto; ohne Gerätekennung, Standort oder Inhalte.

Ungefährer Standort: Nur wenn Sie in der Tagesansicht das Wetter einschalten, der Ortsname (z. B. „Berlin, DE“) und eine auf etwa zehn Kilometer gerundete Koordinate, zugeordnet zu Ihrer Familie; kein genauer Standort, kein Standortverlauf.

Kommunikationsdaten: Inhalte, die Sie per E-Mail oder Support-Kanal an uns senden.

Kauf- und Abodaten: Abonnementstatus und Tarif Ihrer Familie, Transaktions- und Verlängerungskennungen aus dem App Store (z. B. die ursprüngliche Transaktions-ID), Beginn und Ablauf der Abrechnungsperiode sowie der Stand des KI-Kontingents. Zahlungsmittel- oder Kreditkartendaten erhalten wir von Apple nicht.

Werbemessung: nur mit Ihrer Einwilligung (siehe 7h.). Bei uns zu Ihrer Küche Kampagne, Anzeigengruppe und Keyword-ID aus Apple Ads, wenn die Installation über eine Apple-Anzeige kam; bei Google die Werbe-ID (IDFA), eine App-Instanz-ID, Gerätedaten und die Ereignisse erster App-Start, Küche angelegt und erster geplanter Tag.

5.Zwecke und Rechtsgrundlagen

Bereitstellung des Dienstes und Account-Verwaltung: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Bereitstellung und Verwaltung des kostenpflichtigen KI-Abonnements sowie Zuordnung des Kontingents zu Ihrer Familie: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Authentifizierung (OAuth, Einmalcode): Art. 6 Abs. 1 lit. b DSGVO.

Sicherheit, Missbrauchsabwehr, Log-Dateien: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Stabilität und Fehleranalyse (Diagnosedaten): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden App).

Verstehen der Nutzung und Weiterentwicklung des Dienstes (Nutzungsstatistik): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Rezept-Import per Link (Webseiten, Instagram, TikTok): Art. 6 Abs. 1 lit. b DSGVO (von Ihnen angeforderte Funktion); Speicherung von Link und Name bzw. Handle des Urhebers als Quellenangabe: Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Nachvollziehbarkeit der Quelle und Interesse des Urhebers an der Nennung).

Wetteranzeige in der Tagesansicht: Art. 6 Abs. 1 lit. b DSGVO (von Ihnen angeforderte Funktion), Freigabe des ungefähren Standorts über die iOS-Berechtigung; Auswertung, aus welchen Regionen der Dienst genutzt wird (grober Standort je Familie): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Werbemessung (ob unsere Anzeigen bei Apple Ads und Google Ads zu Installationen und neuen Küchen führen, Ausrichtung der Google-Kampagnen): Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

Nachweis der Bestätigung von Nutzungsbedingungen und Datenschutz: Art. 6 Abs. 1 lit. f DSGVO (Dokumentation und Rechtsverteidigung); Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen.

Support-Kommunikation: Art. 6 Abs. 1 lit. b und f DSGVO.

Gesetzliche Aufbewahrungspflichten (z. B. Rechnungen): Art. 6 Abs. 1 lit. c DSGVO, § 257 HGB, § 147 AO.

6.Hosting (Supabase)

Die Anwendungsdatenbank, Authentifizierung und der Dateispeicher (z. B. für Rezeptfotos) werden von Supabase in der EU (AWS Region eu-central-1, Frankfurt) betrieben. Mit Supabase besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

6a.E-Mails

Wir versenden E-Mails über den Dienst Resend (Resend, Inc., USA) in unserem Auftrag: Anmeldecodes für die Anmeldung per Einmalcode sowie persönliche Nachrichten von uns an Sie, etwa eine Begrüßung nach der Anmeldung oder eine Rückfrage zur App. Absender ist eine Adresse unter post.getsuperkitchen.com, Antworten erreichen uns unter hello@getsuperkitchen.com. Verarbeitet werden Ihre E-Mail-Adresse, der Inhalt der Nachricht und Angaben zur Zustellung (abgeschickt, zugestellt, verzögert, zurückgekommen oder als Spam gemeldet).

Die Zustellangaben speichern wir mit Empfängeradresse, Betreff und Zeitpunkt, bei persönlichen Nachrichten auch mit dem Text, damit wir Zustellprobleme erkennen und nachvollziehen können, was wir Ihnen geschrieben haben. Anmeldecodes speichern wir nicht. Ob Sie eine E-Mail öffnen oder einen Link anklicken, messen wir nicht. Rechtsgrundlage ist für Anmeldecodes Art. 6 Abs. 1 lit. b DSGVO, für persönliche Nachrichten und die Zustellangaben Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Austausch mit unseren Nutzern und an einer zuverlässigen Zustellung). Die Angaben löschen wir zusammen mit Ihrem Konto. Persönlichen Nachrichten können Sie jederzeit widersprechen, eine kurze Antwort genügt.

Der Versand läuft über eine EU-Infrastruktur (Region Irland). Mit Resend besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; eine etwaige Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln und, soweit anwendbar, des EU-U.S. Data Privacy Framework.

Einladungen zur Familie und an befreundete Familien laufen über einen Einladungs-Link bzw. Code, nicht über E-Mail. Produkt-Benachrichtigungen (z. B. eine angefragte Abstimmung) erhalten Sie als Push-Benachrichtigung (siehe 7b.), nicht per E-Mail.

6b.Browser-Version (Vercel)

Die Browser-Version unter app.getsuperkitchen.com liefert der Dienst Vercel (Vercel Inc., USA) in unserem Auftrag aus. Beim Aufruf verarbeitet Vercel die technisch nötigen Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung), um die Seite auszuliefern und vor Missbrauch zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren Bereitstellung). Die Inhalte Ihrer Familie lädt die Browser-Version direkt aus unserer Datenbank bei Supabase (siehe 6.), nicht über Vercel. Mit Vercel besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; eine etwaige Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln und, soweit anwendbar, des EU-U.S. Data Privacy Framework.

6c.Tipps und Neues per E-Mail

Wir schicken Ihnen gelegentlich E-Mails mit Tipps zur Nutzung von Superkitchen und Hinweisen auf neue Funktionen, höchstens zwei im Monat. Dafür verwenden wir Ihre E-Mail-Adresse, Ihre Sprache und einfache Angaben zur Nutzung Ihrer Küche, etwa wann Sie die App zuletzt geöffnet haben und ob Sie schon eigene Rezepte gespeichert, Essen geplant oder die Einkaufsliste genutzt haben. So bekommen Sie nur Tipps, die zu Ihnen passen. Rezeptinhalte, Angaben zu Kindern sowie Ernährungs- und Gesundheitsangaben verwenden wir dafür nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, unsere Nutzerinnen und Nutzer über unser eigenes Angebot zu informieren) in Verbindung mit § 7 Abs. 3 UWG. Sie können dem jederzeit widersprechen, ohne dass Ihnen dafür andere als die Übermittlungskosten nach den Basistarifen entstehen: über den Abmeldelink in jeder E-Mail, in der App unter Einstellungen › Mitteilungen oder mit einer kurzen Nachricht an hello@getsuperkitchen.com. Anmeldecodes erhalten Sie unabhängig davon weiter.

Um zu prüfen, ob die Tipps helfen, vergleichen wir, ob Empfänger danach häufiger in die App zurückkehren als eine zufällig ausgewählte Vergleichsgruppe, die keine E-Mail bekommt. Ob Sie eine E-Mail öffnen oder einen Link anklicken, messen wir nicht. Versand und Zustellangaben laufen wie unter 6a beschrieben über Resend. Die Angaben löschen wir zusammen mit Ihrem Konto; Ihren Widerspruch speichern wir, solange Ihr Konto besteht, damit Sie keine weiteren Tipps bekommen.

6d.Android-App (Google Play)

Die Android-App laden Sie über Google Play herunter, einen Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Für Download, Installation und Updates und für Ihr Google-Konto ist Google selbst verantwortlich; es gilt die Datenschutzerklärung von Google (policies.google.com/privacy).

Haben Sie in den Einstellungen Ihres Android-Geräts erlaubt, Nutzungs- und Diagnosedaten an Google zu senden, übermittelt Android Absturz- und Hänger-Berichte und technische Kennzahlen der App (etwa Startzeit und Akkuverbrauch) an Google. Wir sehen diese Berichte zusammengefasst in der Google Play Console, ohne Namen, E-Mail-Adressen oder Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden App); die Weitergabe können Sie in den Android-Einstellungen jederzeit abschalten.

Die Android-App enthält keine Werbung und keine Analyse- oder Werbedienste. Die Inhalte Ihrer Familie lädt sie wie die iPhone-App direkt aus unserer Datenbank bei Supabase (siehe 6.). Benachrichtigungen stellt sie über Firebase Cloud Messaging von Google zu (siehe 7b.).

7.OAuth-Login (Google, Apple)

Wenn Sie sich mit einem OAuth-Anbieter anmelden, werden die zur Authentifizierung erforderlichen Daten (E-Mail-Adresse, ggf. Name, Provider-ID) zwischen dem Anbieter und uns ausgetauscht. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Details zur Datenverarbeitung durch die Anbieter finden Sie in deren Datenschutzerklärungen.

7a.KI-Funktion (Google)

Wenn Sie die optionalen KI-Funktionen nutzen, etwa um aus dem Foto eines Gerichts einen Rezeptvorschlag zu erstellen, aus Fotos Ihres Kühlschranks oder Vorrats die enthaltenen Lebensmittel zu erkennen oder ein Rezeptfoto erzeugen oder bearbeiten zu lassen, werden die von Ihnen gewählten Bilder (beim Vorrat-Scan bis zu fünf) zusammen mit einer optionalen Notiz bzw. Ihren Hinweisen an Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) übermittelt und dort mit Gemini-Modellen verarbeitet, um den Vorschlag, die Erkennung oder das Bild zu erzeugen. Es kann sein, dass auf solchen Fotos Personen, auch Kinder, oder Teile Ihrer Wohnung zu sehen sind. Wählen Sie die Fotos daher bewusst aus.

Mit Google besteht ein Datenverarbeitungsnachtrag (Data Processing Addendum), der sicherstellt, dass Google die Daten nur nach unseren Weisungen verarbeitet und nicht für eigene Zwecke wie das Training eigener KI-Modelle verwendet. Eine etwaige Übermittlung in Drittstaaten (etwa die USA) ist durch EU-Standardvertragsklauseln abgesichert.

Antwortet Google vorübergehend nicht, kann eine Anfrage ersatzweise an Anthropic PBC (USA) übermittelt werden, damit die Funktion verfügbar bleibt; das gilt nicht für das Erzeugen oder Bearbeiten von Fotos. Die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln und, soweit anwendbar, des EU-U.S. Data Privacy Framework. Nach den Angaben von Anthropic werden über die API gesendete Inhalte nicht zum Training von Modellen verwendet und nur befristet zur Missbrauchsabwehr vorgehalten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen angeforderten Funktion). Die KI-Funktion ist freiwillig. Wenn Sie sie nicht nutzen, werden keine Inhalte an diese Anbieter übermittelt.

7b.Push-Benachrichtigungen (Apple, Google)

Wenn Sie Push-Benachrichtigungen aktivieren (etwa um zu erfahren, dass jemand in der Familie eine Abstimmung über ein Gericht anfragt), registriert die App ein gerätebezogenes Push-Token. Wir speichern dieses Token und nutzen es über den Apple Push Notification service (APNs) der Apple Inc., um Ihnen die Benachrichtigung zuzustellen. In der Android-App läuft die Zustellung über Firebase Cloud Messaging (FCM) der Google Ireland Limited; Google verarbeitet dafür das Push-Token, eine Kennung der App-Installation und den Inhalt der Benachrichtigung als unser Auftragsverarbeiter. Eine Verarbeitung durch Google LLC in den USA ist dabei möglich; sie erfolgt auf Grundlage des EU-U.S. Data Privacy Framework und von EU-Standardvertragsklauseln.

In den ersten zehn Tagen nach dem Anlegen einer Familie bekommt die Person, die sie angelegt hat, außerdem höchstens vier Tipps zur Nutzung, und zwar nur zu Schritten, die noch offen sind (etwa noch kein eigenes Rezept). Dafür prüfen wir den Stand der Familie (eigene Rezepte, geplante Tage, Vorrat, Einkaufsliste) und ob die App am selben Tag schon geöffnet wurde, und speichern, welcher Tipp wann verschickt wurde, sowie die Zeitzone des Geräts, damit die Tipps zu einer passenden Uhrzeit ankommen. Die Tipps lassen sich in den Benachrichtigungs-Einstellungen der App abschalten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Ihre über die Systemabfrage erteilte Einwilligung) sowie lit. b zur Bereitstellung der Funktion. Haben Sie die Frage nach Benachrichtigungen mit „Später“ beantwortet, stellt iOS Benachrichtigungen nur leise in der Mitteilungszentrale zu und fragt beim ersten Mal, ob Sie sie behalten möchten; Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Ihnen den Einstieg in die App zu erleichtern). Android stellt ohne Ihre Erlaubnis keine Benachrichtigungen zu. Sie können Push-Benachrichtigungen jederzeit in den Geräte- oder App-Einstellungen widerrufen; das Token wird dann nicht mehr verwendet und entfernt.

7c.Kauf und Abonnement (Apple App Store)

Wenn Sie ein kostenpflichtiges KI-Abonnement abschließen, übermittelt Apple uns technische Kauf- und Statusinformationen (insbesondere Transaktions- und Verlängerungskennungen, den gewählten Tarif sowie Beginn und Ablauf der Abrechnungsperiode). Wir verarbeiten diese serverseitig, um Ihrer Familie das gebuchte KI-Kontingent zuzuordnen und den Abostatus zu pflegen (unter anderem über App Store Server Notifications, die Apple an unseren Server sendet).

Die Zahlungsabwicklung liegt allein bei Apple; Zahlungsmittel- oder Kreditkartendaten erhalten wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Abonnements); für die eigene Verarbeitung im Rahmen des Kaufs ist Apple verantwortlich.

7d.Wetter und ungefährer Standort (Apple WeatherKit)

Wenn Sie in der Tagesansicht „Wetter anzeigen“ antippen, fragt iOS Sie um Erlaubnis für Ihren ungefähren Standort (auf etwa 1 bis 20 Kilometer reduziert). Einen genauen Standort fragt die App nicht ab. Die Wetterdaten liefert Apple (WeatherKit, Apple Inc. und Apple Distribution International Ltd.); dafür übermittelt Ihr Gerät den ungefähren Standort an Apple, es gilt Apples Datenschutzrichtlinie (apple.com/legal/privacy). Der Ortsname wird über Apple Karten aus der Koordinate ermittelt.

Wir selbst speichern je Familie den Ortsnamen (etwa „Berlin, DE“) und die gerundete Koordinate, höchstens einmal pro Woche und Gerät, um zu verstehen, aus welchen Regionen Superkitchen genutzt wird (Art. 6 Abs. 1 lit. f DSGVO). Keine Bewegungsdaten, kein Standortverlauf, kein Zugriff für andere Nutzer. Sie können die Berechtigung jederzeit in den iOS-Einstellungen entziehen; dann zeigt die App kein Wetter mehr und meldet keinen Standort.

7e.Rezept-Import per Link (Webseiten, Instagram, TikTok)

Sie können ein Rezept über einen Link anlegen, in der App oder über das Teilen-Menü in Instagram, TikTok, Safari oder (auf Android) Chrome und anderen Apps. Bei einem Instagram- oder TikTok-Beitrag ruft Ihr Gerät den öffentlichen Beitrag direkt bei der Plattform ab (Meta Platforms Ireland Ltd. bzw. TikTok Technology Ltd.), ohne Login und ohne Cookies; die Plattform sieht dabei die IP-Adresse Ihres Geräts, so wie beim Öffnen des Links im Browser. Gelesen werden nur die öffentliche Beschreibung, das Handle des Urhebers und das Titelbild; das Video wird nicht geladen. Unser Server ruft Instagram und TikTok nicht auf. In der Browser-Version bleibt bei Instagram und TikTok nur der Link am Rezept, der Beitrag wird nicht gelesen.

Rezeptseiten im Web (etwa Chefkoch oder ein Foodblog) ruft unser Server ab; dabei gehen keine Daten von Ihnen an die Seite.

Beschreibung bzw. Seiteninhalt und das Titelbild werden anschließend wie in Ziffer 7a beschrieben an Google übermittelt, damit daraus Zutaten und eine eigene Anleitung entstehen. Gespeichert werden der Link und Name bzw. Handle des Urhebers als Quellenangabe am Rezept (Art. 6 Abs. 1 lit. f DSGVO, siehe Ziffer 5) sowie das Titelbild als privates Foto Ihrer Familie. Es wird weder mit Ihren Freunden geteilt noch in der Community oder auf der Webseite zu einem Essen gezeigt; nur wenn Sie Freunde zu einem Essen mit diesem Rezept einladen, sehen die Eingeladenen es in ihrer Einladung. Der Import läuft nur, wenn Sie ihn anstoßen (Art. 6 Abs. 1 lit. b DSGVO).

7g.Bestellen bei Knuspr

Wenn Sie die optionale Funktion „Bei Knuspr bestellen“ nutzen (nur für Erwachsene, in den Liefergebieten von Knuspr), melden Sie sich auf der Anmeldeseite von Knuspr mit Ihrem Knuspr-Konto an. Anbieter von Knuspr ist die Großer Kern GmbH, Tal 30, 80331 München („Knuspr“). Ihr Passwort geben Sie nur bei Knuspr ein, wir erhalten es nicht. Die App erhält einen Zugangsschlüssel, der nur im Schlüsselbund Ihres Geräts liegt und nicht auf unseren Servern.

Mit diesem Zugang sendet die App direkt von Ihrem Gerät die Namen der Artikel Ihrer Einkaufsliste als Suchbegriffe an Knuspr, liest Ihre bisherigen Knuspr-Bestellungen, um passende Produkte vorzuschlagen, und legt die von Ihnen bestätigten Produkte mit Mengen in Ihren Knuspr-Warenkorb. Von Knuspr erhält die App dabei Produktdaten wie Namen, Fotos, Preise, Zutaten und Nährwerte. Ihre Bestellhistorie wertet die App nur auf dem Gerät aus.

In unserer Datenbank speichern wir für Ihre Küche nur, welches Knuspr-Produkt Sie für einen Artikel gewählt haben (Produktnummer, Name, Packung, Bildpfad), damit diese Wahl beim nächsten Mal für alle in Ihrer Küche gilt. Die Postleitzahl, mit der die App das Liefergebiet prüft, bleibt auf Ihrem Gerät.

Bestellung, Lieferzeit, Bezahlung und Lieferung laufen ausschließlich bei Knuspr. Dafür ist Knuspr selbst verantwortlich, es gilt die Datenschutzerklärung von Knuspr. Der Knopf „Zur Kasse“ ist ein Partnerlink: Er führt über den Dienst CJ Affiliate (Epsilon International UK Ltd, Vereinigtes Königreich) zu Knuspr, damit wir für Bestellungen eine Provision erhalten können. Dabei erhalten CJ und Knuspr die üblichen Daten eines Seitenaufrufs, etwa IP-Adresse und Zeitpunkt, sowie eine Kennung, dass der Besuch von Superkitchen kam. Wir erfahren nichts über Ihre Bestellung außer der Provision.

Rechtsgrundlage ist die Erfüllung des Vertrags über die Nutzung der App (Art. 6 Abs. 1 lit. b DSGVO), für den Partnerlink unser berechtigtes Interesse an der Finanzierung der App (Art. 6 Abs. 1 lit. f DSGVO). Sie können die Verbindung jederzeit unter Einstellungen › Lieferdienste trennen, der Zugangsschlüssel wird dann vom Gerät gelöscht.

7h.Werbemessung (Google Analytics for Firebase, Apple Ads)

Wir werben für Superkitchen mit Anzeigen bei Apple und Google. Um zu erfahren, welche Anzeigen zu Installationen und neuen Küchen führen, fragt die iPhone-App nach einer Neuinstallation erwachsene Mitglieder (Rollen Owner, Chef und Sous Chef) auf der Startseite, ob wir das messen dürfen. Kinderprofile fragt die App nie, für sie wird nichts gemessen. Antworten Sie mit „Nein, danke“ oder gar nicht, findet keine Werbemessung statt. Ihre Antwort gilt nur für Sie: Melden Sie sich ab, endet die Messung auf dem Gerät. Die Android-App und die Browser-Version messen keine Werbung.

Apple Ads: Stimmen Sie zu, holt die App bei iOS über Apples Schnittstelle AdServices ein Zuordnungs-Token und sendet es an unseren Server (Supabase, Frankfurt, siehe 6.). Der Server fragt mit diesem Token bei Apple nach, ob die Installation über eine Anzeige in Apple Ads zustande kam. Wenn ja, speichern wir zu Ihrer Küche die Kampagne, die Anzeigengruppe und die Kennung des Suchbegriffs (Keyword-ID). Apple beantwortet die Anfrage in eigener Verantwortung. Apples Tracking-Abfrage braucht es dafür nicht.

Google Analytics for Firebase: Nach Ihrer Zustimmung fragt iOS, ob Superkitchen Ihre Aktivitäten tracken darf (App Tracking Transparency). Nur wenn Sie das auch dort erlauben, schaltet die App Google Analytics for Firebase ein, einen Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) und der Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Übermittelt werden dann die Werbe-ID Ihres Geräts (IDFA), eine zufällige Kennung der App-Installation (App-Instanz-ID), Gerätedaten wie Gerätetyp, iOS-Version, App-Version und Sprache sowie Nutzungsdaten: die Ereignisse erster App-Start, Küche angelegt und erster geplanter Tag und die Angaben, die Google Analytics automatisch erfasst, etwa Beginn und Dauer der Nutzung. Technisch bedingt erhält Google dabei auch die IP-Adresse Ihres Geräts. Rezepte, Namen, E-Mail-Adressen oder andere Inhalte übermitteln wir nicht. Google wertet die Daten aus und gibt sie an unser Google-Ads-Konto weiter. So sehen wir, ob eine Google-Anzeige (Google Ads, App-Kampagnen) zu einer Installation oder einer neuen Küche geführt hat, und Google kann unsere Kampagnen danach ausrichten. Google verarbeitet die Daten dafür als unser Auftragsverarbeiter auf Grundlage der Datenverarbeitungsbedingungen für Google-Werbeprodukte (Art. 28 DSGVO). Die Freigabe der Daten an Google für eigene Zwecke, Google Signals und personalisierte Werbung haben wir ausgeschaltet. Lehnen Sie in der iOS-Abfrage ab, bleibt Google Analytics aus; die Apple-Ads-Zuordnung läuft trotzdem. Bis Sie zustimmen, ist Google Analytics in der App ausgeschaltet und überträgt nichts.

Google Analytics löscht die Daten nach zwei Monaten. Eine Verarbeitung außerhalb der EU, insbesondere durch Google LLC in den USA, ist möglich; sie erfolgt auf Grundlage des EU-U.S. Data Privacy Framework, nach dem Google LLC zertifiziert ist, und von EU-Standardvertragsklauseln.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, für den Zugriff auf Ihr Gerät § 25 Abs. 1 TDDDG). Die Werbemessung ist freiwillig. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft in der App unter Einstellungen › Werbemessung widerrufen; die App schaltet Google Analytics dann aus und teilt Google den Widerruf mit, und wir löschen die gespeicherte Apple-Ads-Zuordnung. Einwilligung und Widerruf protokollieren wir mit Zeitpunkt und Textstand der Abfrage, damit wir sie nachweisen können (Art. 7 Abs. 1 DSGVO, siehe 11.). Die Tracking-Erlaubnis können Sie zusätzlich in den iOS-Einstellungen unter Datenschutz & Sicherheit › Tracking entziehen.

8.Kinder

Superkitchen darf gemeinsam mit Kindern unter 16 Jahren genutzt werden. Wir verarbeiten Daten von Kindern (Name, Foto, Geburtstag, Geschlecht, Ernährungsform, Rezeptbewertungen, Wünsche) ausschließlich auf Grundlage der Einwilligung der erziehungsberechtigten Person, die die Familie angelegt hat. Kinderprofile fragt die App nie nach der Werbemessung, für sie wird nichts gemessen (siehe 7h.).

Die rechtliche Verantwortung für die Inhalte zu Kindern liegt bei den Erziehungsberechtigten der jeweiligen Familie. Auf Wunsch löschen wir Daten von Kindern sofort und unwiderruflich.

9.Sichtbarkeit: Freunde und Community

Familieninhalte sind grundsätzlich privat. Je Rezept wählen Sie eine von drei Stufen: „Nur wir“ (nur Ihre Familie), „Freunde“ (die mit Ihnen verbundenen Familien sehen das Rezept mit seinen Fotos) oder „Community“.

Bei „Community“ sind Titel, Beschreibung, Zutaten, Anleitung, Dauer, Kategorien, Power-Werte, das Titelfoto und der Name Ihrer Küche in der eingereichten Fassung für alle Nutzer des Dienstes sichtbar. Rechtsgrundlage ist Ihre Einwilligung je Rezept (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über die Sichtbarkeit des Rezepts widerrufen können; die Veröffentlichung endet dann. Zur Prüfung vor der Veröffentlichung übermitteln wir Titelfoto und Text an Google (Gemini, Auftragsverarbeitung wie in Ziffer 7a beschrieben).

Übernahmen und Nachkoch-Ereignisse zählen wir je Rezept und Version mit Zeitstempel und übernehmender Familie (Art. 6 Abs. 1 lit. f DSGVO, Interesse an einer funktionierenden Community); die Zahl der Übernahmen ist öffentlich, die Zahl der Nachkoch-Ereignisse sieht nur die veröffentlichende Familie. Meldungen speichern wir mit meldender Familie, Grund und Zeitpunkt und erhalten dazu eine E-Mail (Art. 6 Abs. 1 lit. f DSGVO, Schutz vor Missbrauch). Blenden Sie eine Familie aus, speichern wir diese Sperre für Ihre Familie (Art. 6 Abs. 1 lit. f DSGVO).

9a.Tages-Seite eines Essens (Link zum Teilen)

Sie können einen geplanten Tag als Webseite teilen (getsuperkitchen.com/…, ein zufälliger Code). Wer den Link hat, sieht ohne App und ohne Konto das Datum, die Gerichte mit ihren Fotos und was es dazu gibt, wer kocht, die Vornamen der Mitglieder Ihrer Familie (auch wer an dem Tag nicht dabei ist) und die Namen eingeladener Familien mit ihrer Antwort. Fotos von Personen zeigt die Seite nicht, Suchmaschinen dürfen sie nicht aufnehmen. Beenden Sie das Teilen, ist die Seite sofort weg; eine Woche nach dem Essen geht sie von selbst offline. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (von Ihnen angeforderte Funktion).

Besucher der Seite können bis zum Tag des Essens eintragen, was sie mitbringen. Wir speichern dann den angegebenen Namen und den Eintrag am Tag der einladenden Familie. Beides sehen alle mit dem Link, die einladende Familie und eingeladene Familien auch in der App; die einladende Familie und Gäste mit Zusage erhalten dazu eine Push-Benachrichtigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse von Gastgebern und Gästen, ein Essen gemeinsam zu planen). Damit ein Besucher seinen Eintrag wieder entfernen kann, legt die Seite in seinem Browser ein Cookie mit der Kennung des Eintrags und einem Prüfwert ab (technisch notwendig nach § 25 Abs. 2 Nr. 2 TDDDG, 21 Tage). Einträge bleiben im Plan der einladenden Familie, bis diese sie oder den Tag entfernt; Besucher können ihren Eintrag im selben Browser entfernen oder sich an uns wenden.

10.Cookies und lokale Speicherung

In der App verwenden wir technisch notwendige lokale Speicherungen (Session-Token, gewählte Sprache, lokal gecachte Inhalte für Offline-Nutzung). In der Browser-Version legt Ihr Browser vergleichbare Daten im lokalen Speicher ab (Anmeldung, noch nicht gesendete Änderungen, zwischengespeicherte App-Dateien und Fotos für einen schnellen Start); Cookies setzt die Browser-Version nicht. Diese Speicherungen sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Nur wenn Sie der Werbemessung zustimmen, ruft die App zusätzlich das Zuordnungs-Token von Apple ab. Erlauben Sie außerdem in der iOS-Abfrage das Tracking, liest sie die Werbe-ID aus und speichert eine App-Instanz-ID für Google Analytics. Grundlage ist jeweils Ihre Einwilligung (§ 25 Abs. 1 TDDDG, siehe 7h.). Darüber hinaus setzen wir keine Marketing- oder Analyse-Cookies ein.

11.Speicherdauer

Kontodaten: bis zur Löschung des Familien-Accounts durch den Owner.

Nutzungsdaten (Rezepte, Plan, Zutaten, Wünsche, Fotos): bis zur Löschung durch ein Mitglied mit ausreichender Rolle oder bis zur Löschung des Accounts.

Rezeptquellen (Link, Name bzw. Handle des Urhebers, Titelbild): bis zur Löschung des Rezepts.

Technische Logs: max. 30 Tage, danach Löschung oder Aggregation.

Diagnosedaten: 30 Tage, danach automatische Löschung.

Nutzungsstatistik: bis zur Löschung Ihres Kontos.

Ungefährer Standort: bis zur Löschung Ihrer Familie; jede neue Meldung ersetzt die vorherige.

Community-Daten (veröffentlichte Fassungen, Übernahme- und Nachkoch-Ereignisse, Meldungen, Sperren): bis zur Löschung Ihrer Familie; zurückgezogene Fassungen sind sofort nicht mehr öffentlich.

Gewählte Knuspr-Produkte: bis Sie sie unter Einstellungen › Lieferdienste löschen oder die Küche gelöscht wird.

Werbemessung: Apple-Ads-Zuordnung (Kampagne, Anzeigengruppe, Keyword-ID) bis zu Ihrem Widerruf oder der Löschung Ihrer Küche, höchstens 24 Monate; bei Google Analytics zwei Monate. Einwilligung und Widerruf der Werbemessung stehen im Bestätigungs-Protokoll.

Bestätigungs-Protokolle: für die Dauer der Geschäftsbeziehung + 3 Jahre (Nachweis).

Kauf- und Abodaten: für die Dauer des Abonnements und Ihrer Familie; steuerrelevante Transaktionsbelege 10 Jahre (§ 147 AO).

Rechnungen und steuerrelevante Daten: 10 Jahre (§ 147 AO).

12.Empfänger und Drittlandtransfer

Wir geben personenbezogene Daten nur an die oben genannten Auftragsverarbeiter und Empfänger weiter sowie an staatliche Stellen, soweit wir gesetzlich dazu verpflichtet sind. Drittlandübermittlungen können bei einzelnen Diensten stattfinden (z. B. an Anthropic in den USA, wenn die KI-Funktion ersatzweise dorthin ausweicht, siehe 7a.; auch Google kann Daten außerhalb der EU verarbeiten, siehe 7a.; zum E-Mail-Versand über Resend siehe 6a.; zur Auslieferung der Browser-Version über Vercel siehe 6b.; zum Vertrieb der Android-App über Google Play (eigenständig verantwortlich) siehe 6d.; zur Zustellung von Benachrichtigungen auf Android über Firebase Cloud Messaging siehe 7b.; zur Wetteranzeige über Apple siehe 7d.; zum Abruf öffentlicher Beiträge durch Ihr Gerät bei Instagram und TikTok siehe 7e.; zum Bestellen bei Knuspr (eigenständig verantwortlich) und zum Partnerlink über CJ Affiliate im Vereinigten Königreich (Angemessenheitsbeschluss der EU-Kommission) siehe 7g.; zur Werbemessung über Apple und Google (Google Analytics for Firebase, Google Ads) siehe 7h.); sie erfolgen auf Grundlage von EU-Standardvertragsklauseln und, soweit anwendbar, des EU-U.S. Data Privacy Framework.

13.Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

14.Ihre Rechte

Recht auf Auskunft (Art. 15 DSGVO) Recht auf Berichtigung (Art. 16 DSGVO) Recht auf Löschung (Art. 17 DSGVO) Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) Recht auf Datenübertragbarkeit (Art. 20 DSGVO) Widerspruchsrecht (Art. 21 DSGVO) Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft, soweit eine Verarbeitung auf Einwilligung beruht (Art. 7 Abs. 3 DSGVO) Zur Ausübung genügt eine formlose Nachricht an hello@getsuperkitchen.com.

15.Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen Rechtsbehelfs haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig ist: Berliner Beauftragte für Datenschutz und Informationsfreiheit Alt-Moabit 59 bis 61 10555 Berlin www.datenschutz-berlin.de

16.Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Veränderung zu schützen. Dazu zählen insbesondere: TLS-Verschlüsselung, Row-Level-Security auf Datenbank-Ebene (mandantengetrennte Sichtbarkeit pro Familie), verschlüsselte Speicherung von Authentifizierungsdaten, Zugriffsbeschränkungen nach Need-to-know und regelmäßige Reviews.

17.Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn Funktionen, Rechtslage oder eingesetzte Dienste sich ändern. Die jeweils aktuelle Fassung ist in der App abrufbar. Bei wesentlichen Änderungen informieren wir aktive Nutzer zusätzlich per E-Mail oder in der App.