Datenschutzerklärung

Wer deine Daten verarbeitet

Betreiber der App Cheflex bin ich, Martin Papoušek, Einzelunternehmer, Sitz Bezručova 4201, 430 03 Chomutov, Tschechien, IČO 05006864. Kontakt in Datenschutzfragen: cheflex@email.cz.

Die Daten, die du in der App auf dem Handy hast, sehe ich nicht, und ich bin für sie nicht Verantwortlicher — sie liegen allein in deiner Hand. Verantwortlicher bin ich nur für das, was du mir per E-Mail oder über die Rückmeldung schickst, für die Prüfung des Kaufs, für die verschlüsselten Pakete auf dem Server der Handy-Kopplung und für die Betriebsdaten der Website.

Was die App auf dem Handy speichert

Die App arbeitet mit den Angaben, die du selbst eingibst, und hält sie ausschließlich im Speicher des Geräts: die Zahl der Personen im Haushalt und ihre Namen oder Spitznamen; bei jeder Person Alter, Geschlecht, Größe, Gewicht, Bewegung und das gewählte Ziel; Allergien, Ernährungsweisen und Lebensmittel, die ihr nicht esst; die Noten für Zutaten und Küchen aus dem Geschmacksfragebogen; erstellte Essenspläne, Einkaufslisten und abgehakte Posten; Bewertungen bereits gekochter Gerichte und eigene Notizen zu Rezepten; die letzten fünf technischen Fehler der App (Fehlertext und Stelle im Code — für die Rückmeldung, nichts von deinen Angaben).

Ein Teil davon sind Gesundheitsdaten im Sinne von Art. 9 DSGVO — typischerweise Gewicht und Allergien. Gerade deshalb bleiben sie auf dem Handy und werden nirgendwohin gesendet. Die einzige Ausnahme ist die Kopplung mit einem Mitspieler, die du selbst einschaltest: Körperdaten und Allergien einer Person gehen verschlüsselt nur auf ihr eigenes Handy (Abschnitt „Zwei Handys koppeln“).

Auf dem Handy eines Mitspielers liegt eine Kopie dessen, was ihm das Haupt-Handy schickt: die geplanten Gerichte, die Einkaufsliste, Namen, Tiere, Portionsgrößen und Daumen, die Notizen des Haushalts zu diesen Gerichten aller im Haushalt und dazu Körperdaten und Allergien nur der Person, der dieses Handy gehört. Wird die Verbindung getrennt, bietet die App dem Mitspieler einen neuen Einladungscode oder einen eigenen Haushalt an; beides löscht die Kopie und behält nur die Daumen der eigenen Person (beim eigenen Haushalt auch ihre Daten). Bis zur Wahl bleibt die Kopie auf dem Handy; auch das Deinstallieren der App löscht sie.

Ein Spiegel — ein zweites Gerät der Person, die den Haushalt führt — erhält den ganzen Haushalt einschließlich der Körperdaten und Allergien aller Mitglieder, so wie sie auf dem Haupt-Handy zu sehen sind.

Diese Daten liegen im Speicher der App auf dem Handy, nicht in Cookies. Deinstallierst du die App, ist alles weg. Ein Backup habe ich nicht und kann nichts wiederherstellen. Vorsicht bei Backups des Handys: Wenn du das Backup in iCloud oder auf Google Drive eingeschaltet hast, kann darin eine Zeit lang eine Kopie der App-Daten liegen — das ist das Backup deines Handys, auf das ich keinen Zugriff habe.

Im Menü findest du „Alle Daten löschen“ — mit einer Bestätigung verschwindet alles, was die App über dich und euren Haushalt weiß.

Wohin Daten gesendet werden

Daten über dich und deinen Haushalt: nirgendwohin. Die App hat keine Konten, nutzt keine Werbe- oder Analysebibliotheken, sammelt weder Gerätekennungen noch Standort und will weder Kontakte noch Fotos noch die Kamera (den QR-Code einer Einladung liest die Kamera des Handys, nicht die App). Nach draußen geht nur die anonyme Statistik, die du selbst einschaltest, bei der App aus dem Store, was für den Kauf der Vollversion nötig ist, und wenn du Handys mit einem Mitspieler koppelst, verschlüsselte Pakete für das andere Handy — alles steht weiter unten. Die letzte Ausnahme ist eine Nachricht, die du mir über die Rückmeldung schickst.

Anonyme Statistik — nur, wenn du sie einschaltest

Damit sich Cheflex danach verbessern lässt, wie es wirklich genutzt wird, kann die App zählen, wie oft etwas passiert — etwa dass der Assistent durchlaufen, ein Essensplan erstellt, ein Rezept geöffnet, die Einkaufsliste genutzt wurde oder die App auf einen Fehler gestoßen ist (nur wie oft, nicht was passiert ist). Sie zählt auch, wie oft das Angebot der Vollversion angezeigt, wie oft darin auf Kaufen getippt und wie oft ein Kauf abgeschlossen wurde — nur die Anzahl, nichts über den Kauf selbst. Einmal am Tag schickt sie dann eine Zusammenfassung dieser Zahlen für die vergangenen Tage an meinen Server cheflex.app.

Das ist ausgeschaltet, bis du es selbst einschaltest — auf dem Begrüßungsbildschirm der App, nach deinem ersten abgeschlossenen Zeitraum, wenn ich dich einmal frage, oder jederzeit unter Menü → Anonyme Statistik. Solange es aus ist, zählt die App nichts und speichert dafür auch nichts auf dem Handy. Schaltest du es aus, wird auch gelöscht, was noch auf den Versand wartete, und die App funktioniert genauso weiter.

Zu den Zahlen kommen nur Sprache, App-Version, Gerätetyp (Android, iPhone oder Web und ob Handy, Tablet oder Computer), für wie viele Personen du in der App kochst (1 bis 4), ob du die Vollversion freigeschaltet hast, ob die App Kalorien zählt oder nur Ideen liefert, und wie lange die Statistik schon eingeschaltet ist (erster Tag, bis zu einer Woche, bis zu einem Monat, länger). Öffnest du die App zum ersten Mal in einer neuen Woche, in einem neuen Monat oder überhaupt zum ersten Mal, zählt sie das als eins — so lässt sich ermitteln, auf wie vielen Geräten die App läuft, ganz ohne ID.

Nie verschickt sie Namen, Alter, Gewicht, Ziele, Allergien, Geschmack, Gerichtsnamen oder das, wonach du suchst. Es gibt keine Geräte- oder Installations-ID, und die Zusammenfassungen tragen weder Datum noch Uhrzeit. Der Speicher für die Zählungen vermerkt von sich aus, wann eine Zusammenfassung angekommen ist; diesen Zeitpunkt nutze ich nur, um Zusammenfassungen pro Tag zu zählen, und er wird nach 90 Tagen gelöscht. Die Anfrage an den Server stellt Cloudflare zu, das die IP-Adresse kurz verarbeitet, um Angriffe abzuwehren; für die Zählungen speichere ich sie nicht. Wer die Daten geschickt hat, lässt sich daher nicht erkennen — es sind keine personenbezogenen Daten (Erwägungsgrund 26 DSGVO), und deshalb lassen sie sich auch nicht auf Anfrage herausgeben oder löschen.

Die zusammengefassten Zahlen darf ich unbegrenzt aufbewahren und nutzen — für die Weiterentwicklung der App und als Teil von Cheflex, falls es einmal jemand anderes übernimmt.

Kauf der Vollversion

Damit die App erkennt, dass die Vollversion bezahlt ist, prüft sie den Kauf beim App Store oder bei Google Play über den Dienst RevenueCat (RevenueCat, Inc., USA), der die Käufe für mich als Auftragsverarbeiter abwickelt. RevenueCat erhält eine zufällige Kauf-ID, die die App erzeugt, die Kaufbestätigung des Stores und die technischen Angaben, die für die Prüfung nötig sind (Gerätetyp, Systemversion, IP-Adresse). Deinen Namen, deine E-Mail-Adresse oder irgendetwas von dem, was du in der App hast, erhält RevenueCat nicht. Der Kaufnachweis wird aufbewahrt, solange die App existiert – mit ihm stellst du die Vollversion auf einem weiteren Handy wieder her. Früher löschen lässt er sich nicht, denn damit wäre auch die Wiederherstellung weg.

Verarbeitet wird das für den Kauf, den du abschließt (Art. 6 Abs. 1 lit. b DSGVO). Aus denselben Daten zeigt mir RevenueCat zusammengefasste Kaufübersichten (wie viele und in welchem Land), damit ich sehe, ob die App ihre Kosten deckt — das ist mein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA ist durch die EU-Standardvertragsklauseln abgesichert, die Teil des Vertrags mit dem Auftragsverarbeiter sind.

Zwei Handys koppeln (Kapitän und Mitspieler)

Koppelst du das Haupt-Handy mit dem Handy eines Mitspielers, schicken sich die beiden über den Kopplungsserver (cheflex.app, läuft bei Cloudflare) Datenpakete: das Haupt-Handy den Stand des Haushalts, der Mitspieler den abgehakten Einkauf, Daumen und Änderungen der eigenen Körperdaten. Jedes Paket wird schon auf dem Handy verschlüsselt (AES-256-GCM), und zwar mit einem Schlüssel, der aus der Einladung entsteht und den der Server nie bekommt. Den Inhalt — Namen, Gerichte, Zahlen, Daumen — sehen deshalb weder ich noch Cloudflare.

An den Spiegel (das zweite Gerät des Kapitäns) schickt das Haupt-Handy den ganzen Haushalt. Übernimmt der Spiegel die Kapitänsbinde, erhält er verschlüsselt auch die Schlüssel der Verbindung, damit er den Haushalt weiterführen kann.

Was der Server sieht: eine zufällige Kennung des Postfachs und des Handys (keine verrät, wem sie gehört), einen Hash des Postfach-Passworts, die Art der Nachricht (etwa dass ein Handy gekoppelt oder entkoppelt wird) und für wen sie bestimmt ist, Größe und Zeitpunkt der Pakete und die IP-Adresse, von der das Handy kommt — die hält Cloudflare wie bei der Website kurz in Betriebsprotokollen. Den Inhalt der Pakete speichere ich nirgends. Ich zähle nur, wie viele Verbindungen und Nachrichten es pro Tag gab, ohne jede Kennung. Gegen Missbrauch zählt der Server neue Postfächer und Einladungen zusätzlich nach einem gesalzenen Hash der IP-Adresse — nur im Arbeitsspeicher des Servers, nirgends gespeichert und spätestens am nächsten Tag weg.

Wie lange: die Einladung 10 Minuten oder bis sie verwendet wird, Pakete höchstens 30 Tage, ein Postfach, das nicht mehr genutzt wird, 180 Tage. „Alle Daten löschen“ auf dem Haupt-Handy löscht das Postfach sofort, wenn das Handy gerade online ist. Wird ein Handy entkoppelt, verschwindet das alte Postfach, sobald sich die übrigen gekoppelten Handys melden. Sonst räumt der Server es nach diesen Fristen selbst auf.

Lesen kann ich die Pakete nicht, trotzdem behandle ich sie als personenbezogene Daten. Ich verarbeite sie nur, um dir die Verbindung bereitzustellen, die du eingeschaltet hast (Art. 6 Abs. 1 lit. b DSGVO), die technischen Daten für einen sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Für Körperdaten und Allergien ist die Rechtsgrundlage deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du ausdrücklich auf dem Handy des Mitspielers beim Verbinden erteilst — die App sagt dort direkt am Button, was geschickt wird; widerrufen kannst du sie, indem du die Verbindung trennst.

Den Server betreibt für mich Cloudflare, Inc. als Auftragsverarbeiter. Die Übermittlung in die USA stützt sich wie bei der Website auf den Datenschutzrahmen EU–USA (Data Privacy Framework).

Wenn du mir schreibst

Eine Nachricht aus der Rückmeldung schickst du von deiner eigenen E-Mail-Adresse — die App öffnet nur dein Mailprogramm mit einem vorausgefüllten Text, und die Nachricht geht erst raus, wenn du sie abschickst. Sie kommt nur bei mir an. Ich verarbeite dann den Inhalt der Nachricht und deine E-Mail-Adresse, weil ich dir antworten muss (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Das Postfach cheflex@email.cz stellt mir die Seznam.cz, a.s. bereit; die Nachrichten liegen auf deren Servern in der EU.

Jeder Nachricht werden technische Angaben angehängt: App- und Datenversion, Sprache, Farbschema, Geräte- und Browsertyp, Uhrzeit und die letzten technischen Fehler der App, falls es welche gab (Fehlertext und Stelle im Code, nichts von deinen Angaben). Ohne sie lässt sich ein Fehler nicht nachstellen, deshalb gehen sie immer mit.

Wenn du „Haushaltseinstellungen anhängen“ ankreuzt, kommt eine Zusammenfassung ohne Namen dazu: wie viele ihr seid, bei jedem Erwachsenen Ziel, Gewicht, Bewegung und ausgeschlossene Zutaten, bei Kindern nur die Portionsgröße, dazu der App-Modus, Geschmack, Mahlzeiten, die Länge des Zeitraums und der Einkaufstag. Das sind Gesundheitsdaten, deshalb werden sie nur mit deiner ausdrücklichen Einwilligung gesendet (Art. 9 Abs. 2 lit. a DSGVO), die du mit dem Häkchen gibst. Mit dem Häkchen bestätigst du, dass du mindestens 16 bist und die anderen im Haushalt davon wissen und einverstanden sind — ihnen Bescheid zu geben, liegt bei dir. Ohne Anhang helfe ich dir genauso gern.

Ich lösche die Nachricht, sobald die Sache erledigt ist, spätestens nach zwei Jahren.

Deine Rechte und wie du eine Löschung verlangst

Als betroffene Person hast du nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht auf Widerspruch. Für das, was du in der App hast, übst du sie direkt auf dem Handy aus — bei mir gibt es keine Kopie, also kann ich sie dir weder herausgeben noch für dich löschen. Gegen die Verarbeitung, die ich auf mein berechtigtes Interesse stütze — deine E-Mail an mich und die Betriebsdaten der Website —, kannst du jederzeit Widerspruch einlegen; schreib mir einfach.

Bei Nachrichten, die bei mir angekommen sind, schreib an cheflex@email.cz von derselben Adresse, von der die Nachricht kam — ein Satz wie „bitte löschen Sie meine Nachricht vom (Datum)“ reicht. Damit widerrufst du zugleich die Einwilligung zum Anhang. Innerhalb eines Monats lösche ich die Nachricht samt meinen Antworten aus dem Postfach und gebe dir Bescheid. Schreibst du von einer anderen Adresse, frage ich zuerst bei der ursprünglichen nach. Genauso kannst du fragen, was ich von dir habe, oder etwas berichtigen lassen.

Wenn wir uns nicht einigen, kannst du dich bei der tschechischen Datenschutzbehörde (Úřad pro ochranu osobních údajů, uoou.gov.cz) beschweren oder bei einer Aufsichtsbehörde, typischerweise dort, wo du lebst oder arbeitest (Art. 77 DSGVO).

Website

Die Website cheflex.app läuft über das Netzwerk von Cloudflare. Cloudflare verarbeitet bei jedem Besuch technische Daten, ohne die sich die Seite weder ausliefern noch gegen Angriffe schützen ließe — vor allem die IP-Adresse, den Browsertyp und den Zeitpunkt der Anfrage — und hält sie kurz in Betriebsprotokollen. Cloudflare ist ein US-Unternehmen; die Übermittlung in die USA stützt sich auf den Datenschutzrahmen EU–USA (Data Privacy Framework). Rechtsgrundlage ist mein berechtigtes Interesse, die Website sicher zu betreiben (Art. 6 Abs. 1 lit. f DSGVO).

Die Seiten der Website verwenden weder Cookies noch Reichweitenmessung. Im Speicher des Browsers (localStorage) legen sie nur die Sprache und das Aussehen der Website ab (dunkles oder helles Trikot), wenn du sie von Hand umstellst. Das wird nirgendwohin gesendet, und du löschst es, indem du in den Browsereinstellungen die Daten der Website löschst.

Die Vorschau der App auf der Startseite fragt nach Gewicht, Geschlecht, Ziel und Bewegung, um zu zeigen, was die App ausrechnet. Das alles rechnet nur dein Browser: Die Vorschau speichert nichts, sendet nichts und zählt keine Statistik. Lädst du die Seite neu oder schließt sie, ist alles weg, was du eingegeben hast.

Die Seite cheflex.app/p, auf die der Link einer Einladung führt, schickt den Code aus dem Link nicht an den Server — den Teil nach dem Zeichen # behält der Browser für sich. Die Seite speichert nichts und misst nichts.

Daten, die die App-Stores über dich haben

Download und einen etwaigen Kauf wickelt Apple (App Store) oder Google (Google Play) ab. Diese verarbeiten Daten über den Download, die Zahlung und etwaige Abstürze der App nach ihren eigenen Richtlinien, auf die ich keinen Einfluss habe und zu denen ich keinen Zugang in einer Form habe, die dich identifizieren würde. Ihre Richtlinien findest du direkt bei ihnen.

Wie lange was aufbewahrt wird

Auf dem Handy: Einkäufe und gekochte Gerichte drei Monate rückwirkend, danach werden sie gelöscht. Der Verlauf der Bewertungen ein Jahr. Der letzte Daumen bei einem Rezept bleibt, bis du ihn änderst — daran erkennt die App, dass ein Gericht nicht angekommen ist, und das soll weiter gelten. Wählst du im Menü „Verlauf und Bewertungen löschen“, verschwinden alle Bewertungen, und ausgeschaltete Rezepte werden wieder eingeschaltet. Alles andere, bis du es löschst oder die App deinstallierst.

Bei mir: Nachrichten per E-Mail höchstens zwei Jahre; der Kaufnachweis bei RevenueCat, solange die App existiert (sonst ließe er sich nicht wiederherstellen); verschlüsselte Pakete der Handy-Kopplung höchstens 30 Tage, ein nicht genutztes Postfach 180 Tage.

Kinder

Die App ist nicht dafür gedacht, dass Kinder unter 16 Jahren sie allein nutzen. Zum Haushalt kann aber ein Kind gehören — seine Angaben gibt dann ein Elternteil oder ein anderer gesetzlicher Vertreter in die App ein, und für sie gilt dasselbe: Sie bleiben auf dem Handy.

Änderungen dieser Datenschutzerklärung

Ändert sich die App so, dass sich auch die Verarbeitung von Daten ändert, passe ich diese Erklärung und das Datum oben an und gebe das mindestens einen Monat vorher auf cheflex.app und in den Versionshinweisen der App bekannt. Eine wesentliche Änderung — etwa falls vom Handy eine weitere Art von Daten gesendet würde — kündige ich auch in einem App-Update an, nicht nur durch eine stille Änderung dieser Seite.