Datenschutzerklärung
Stand: 12.10.2026.
1. Verantwortlicher
Kevin Cortellini, Ringstr. 125, 04209 Leipzig, Deutschland.
Kontakt: [email protected] (siehe auch Impressum).
2. Erhobene Daten
- Account (optional): E-Mail, selbstgewählter Display-Name, Passwort-Hash (Argon2id). Wird bei Anmeldung mit E-Mail erfasst.
- Anonymer Account: Zufällig generierter Display-Name, keine E-Mail.
- Apple / Google Sign-In: eindeutige Subject-ID des Providers, optional E-Mail und Name (sofern vom User freigegeben).
- Geräte-Tokens: SHA-256-Hash eines Bearer-Tokens, Plattform (iOS/Android), Gerätename, Zeitstempel. Wird bei Login erzeugt, liegt nur als Hash im Backend.
- Listen-Inhalte: von dir angelegte Listen, Items (Name, Menge, Einheit, geplantes Datum, Labels), Labels.
- Zugriffsmetadaten: IP-Adresse (nur für Rate-Limit, nicht gespeichert), Server-Logs (Standardrotation).
3. Zweck
Bereitstellung der App-Funktion: Speichern und synchrones Verteilen deiner Einkaufslisten zwischen deinen Geräten und Mitgliedern, die du selbst per QR-Code einlädst.
4. Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für anonyme Accounts Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: App nutzbar machen ohne Registrierung).
5. Weitergabe
Inhalte werden nur zwischen den Mitgliedern einer Liste geteilt, die du selbst per Share-Code hinzufügst. Kein Verkauf, kein Marketing, keine Analytics-Drittanbieter.
6. Speicherdauer
Wir halten uns an den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Die exakten Fristen werden live aus der Server-Config gezogen und können sich bei Anpassungen ändern - aktuell gelten:
- Erledigte Artikel: nach 14 Tagen nach dem Abhaken in den Papierkorb.
- Überfällige Artikel (Fälligkeit in der Vergangenheit, nicht abgehakt): nach 14 Tagen in den Papierkorb.
- Artikel ohne Datum, unverändert: nach 90 Tagen in den Papierkorb.
- Papierkorb-Artikel: nach 7 Tagen endgültig gelöscht.
- Listen ohne jede Aktivität: nach 180 Tagen in den Papierkorb.
- Papierkorb-Listen: nach 30 Tagen endgültig gelöscht.
- Anonyme Accounts (kein Login): nach 30 Tagen ohne Geräte-Aktivität gelöscht.
- Unbestätigte E-Mail-Accounts: nach 30 Tagen ohne Bestätigung gelöscht.
- Verifizierte Accounts: nach 180 Tagen Inaktivität bekommst du eine Warn-E-Mail. Kommst du dann 7 Tage nicht zurück in die App, wird der Account mit allen Daten gelöscht.
- Abgelaufene Geräte-Tokens + E-Mail-Codes: laufend per Cron entfernt.
Die aktuellen Fristen kannst du jederzeit direkt in der App einsehen (Einstellungen → Automatische Löschung) oder programmatisch unter GET /policy/cleanup abrufen. Jede Löschung wird intern in cleanup_log protokolliert.
7. Deine Rechte
- Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20):
Einstellungen → Meine Daten exportieren (JSON). - Löschung (Art. 17):
Einstellungen → Account löschen. - Berichtigung (Art. 16): Display-Name direkt in der App änderbar.
- Beschwerde: bei der zuständigen Landesdatenschutzbehörde.
8. Sicherheit
Alle Verbindungen laufen über HTTPS. Passwörter sind mit Argon2id gehasht. Geräte-Tokens liegen im iOS-Keychain bzw. Android-EncryptedSharedPreferences und werden serverseitig nur als SHA-256-Hash gespeichert.
9. Auftragsverarbeiter & Empfänger
Wir setzen folgende Dienstleister ein. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO:
- Hetzner Online GmbH, Gunzenhausen/Falkenstein (Deutschland) - Hosting von Backend und Datenbank auf einem dedizierten Server sowie verschlüsselte Backups. Deine Inhalte liegen in Deutschland.
- Cloudflare, Inc. (USA/EU) - Reverse-Proxy, TLS-Verschlüsselung und Schutz vor Angriffen für
shoppingapp.scheffi.net. Verarbeitet Verbindungsdaten (u.a. IP) zur Auslieferung der Anfragen. Datenübermittlung gestützt auf EU-Standardvertragsklauseln. - Google (Google Ireland Ltd. / Google LLC) - nur sofern du es nutzt: „Mit Google anmelden" (Verifizierung deiner Google-Identität), Versand der System-E-Mails (Bestätigungs-/Reset-Codes) über einen Gmail-SMTP-Zugang, sowie Distribution der Android-App über Google Play.
- Apple (Apple Distribution International Ltd., Irland) - nur sofern du es nutzt: „Mit Apple anmelden" und Distribution der iOS-App über den App Store.
Eine Weitergabe deiner Listen-Inhalte an diese Dienstleister findet nicht statt; sie verarbeiten nur die zur jeweiligen Funktion technisch nötigen Daten. Es findet kein Verkauf von Daten und kein Tracking durch Werbe-Drittanbieter statt.