Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne des Art. 4 Nr. 7 DSGVO ist:

Name

Pratyush Suhas Deshpande

Anschrift

Hauzenberger Str. 4
80687 München
Deutschland

E-Mail

hallo@basketiers.de

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Alle Datenschutzanfragen gehen an die oben genannte E-Mail-Adresse.

2. Welche Daten auf deinem Gerät bleiben

Standardmäßig bleibt alles, was du in Basketiers einträgst, auf deinem Gerät. Das sind:

• deine Einkaufslisten mit den Artikeln, Mengen, Einheiten, Preisen und dem Haken für „erledigt“
• die Läden, die du einer Liste zuordnest
• deine Einstellungen: reduzierte Bewegung, haptisches Feedback und ob du den Begrüßungsbildschirm schon gesehen hast

Diese Daten liegen im privaten Speicherbereich der App (AsyncStorage) und werden nicht an uns übertragen. Wir können sie nicht einsehen. Wenn du dich anmeldest, wird zusätzlich das Sitzungs-Token, das dich angemeldet hält, im sicheren Schlüsselspeicher deines Geräts abgelegt.

Rechtsgrundlage: Diese Speicherung ist für die Bereitstellung der von dir angeforderten Funktion unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Soweit überhaupt personenbezogene Daten betroffen sind, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App-Funktionen).

Löschen: Deinstalliere die App oder lösche ihre Daten in den Systemeinstellungen deines Geräts. Damit ist alles weg. Weil wir diese Daten nie erhalten, gibt es bei uns nichts zu löschen.

3. Konto und Anmeldung (Clerk)

Du brauchst kein Konto, um Basketiers zu benutzen. Ein Konto brauchst du nur, wenn du eine Liste teilen willst. Die Anmeldung läuft über Clerk (Clerk, Inc., USA) in einem Browserfenster auf Clerk-Seiten.

Dabei werden verarbeitet:

• deine E-Mail-Adresse — von dir eingegeben, von Clerk gespeichert und an Basketiers als Teil deiner Sitzung übermittelt
• eine Konto-Kennung (Clerk user id) — eine Zeichenkette, die dein Konto bezeichnet; sie ist der Schlüssel für alle Listen, die dir gehören oder auf die du eingeladen wurdest
• technische Sitzungsdaten — das Sitzungs-Token und die zugehörigen Claims (Kennung, E-Mail-Adresse, Rolle), die dein Gerät bei jeder Anfrage an die Datenbank mitschickt

Dein Passwort sehen und speichern wir nie. Die Anmeldung findet auf den Seiten von Clerk statt; Basketiers erhält nur das Ergebnis. Die Anmeldung überträgt keine Listeninhalte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung ist für die Erfüllung des Nutzungsvertrags erforderlich, den du mit der Anmeldung schließt (Bereitstellung von Konto und geteilten Listen).

4. Geteilte Listen (Supabase)

Wenn du eine Liste teilst, wird genau diese Liste in eine Datenbank bei Supabase hochgeladen, damit die eingeladenen Personen sie sehen und bearbeiten können. Eine Liste, die du nicht teilst, verlässt dein Gerät nicht.

Rollen: Es gibt nur Eigentümer und Bearbeiter. Wer auf einer Liste steht, kann sie lesen und Artikel abhaken — eine reine Leserolle gibt es nicht, weil das Abhaken auf einer gemeinsamen Einkaufsliste der Sinn der Sache ist.

Nach dem Zurückziehen einer Einladung: Das Zurückziehen ist eine Statusänderung, keine Löschung. Die Zeile bleibt also bestehen — mit der E-Mail-Adresse der eingeladenen Person und dem Zeitpunkt, zu dem sie angenommen hatte. Das ist beabsichtigt, damit nachvollziehbar bleibt, wer Zugriff hatte. Erst das Löschen der Liste oder des Kontos entfernt diese Zeilen.

Zugriffsschutz: Der Zugriff wird durch Regeln direkt in der Datenbank (Row Level Security) erzwungen: Eine Liste ist nur für die Personen lesbar, die darauf stehen. Eine offene Einladung darf den Listennamen sehen, nicht aber die Artikel.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags: Teilen ist die Funktion, die du auslöst).

5. Einladungen per E-Mail

Wenn du eine Person per E-Mail-Adresse einlädst, speichern wir deren E-Mail-Adresse zusammen mit dem Status der Einladung, damit die Einladung ihrer Person zugeordnet werden kann, sobald sie sich anmeldet.

Wichtig, Stand heute: Der E-Mail-Versand ist im Code vorbereitet, aber nicht in Betrieb. Es wird derzeit also keine E-Mail an eingeladene Personen verschickt — die Einladung liegt nur in der Datenbank, und die einladende Person muss selbst Bescheid sagen. Sobald der Versand aktiviert wird, wird er über Resend (Resend, Inc., USA) abgewickelt; die Einladungsmail enthält dann die Adresse der einladenden Person, den Titel der Liste und einen kurzen Hinweis, wie die Einladung angenommen wird. Diese Erklärung beschreibt beide Zustände, weil sie sich ohne Änderung dieses Textes umschalten lassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vorbereitung und Durchführung des Nutzungsvertrags mit der einladenden Person) sowie, für die Benachrichtigung der eingeladenen Person, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Zustellung einer Einladung, die eine andere Person ausdrücklich veranlasst hat). Die einladende Person ist dafür verantwortlich, dass sie die Adresse der eingeladenen Person verwenden darf.

6. Kamera und Mikrofon

Beide sind optional und werden nur benutzt, während du die jeweilige Funktion aktiv bedienst. In den Hintergrund gehen sie nicht.

Kamera — Barcode scannen

Die Kamera liest ausschließlich einen Barcode, wenn du die Scan-Funktion öffnest. Der Barcode wird auf dem Gerät ausgewertet. Es wird kein Foto aufgenommen, gespeichert oder hochgeladen. Die erkannte Nummer wird mit einer Produktliste abgeglichen, die in der App enthalten ist — ohne Netzwerkanfrage.

Mikrofon — Artikel einsprechen

Das Mikrofon ist nur aktiv, während du die Sprachfunktion benutzt. Die Umwandlung von Sprache in Text übernimmt die Spracherkennung deines Betriebssystems — auf iOS die von Apple, auf Android die deines Geräteherstellers oder von Google. Dieser Dienst kann deine Sprachaufnahme auf seinen eigenen Servern verarbeiten, nach seiner eigenen Datenschutzerklärung und außerhalb unseres Einflussbereichs. Basketiers zeichnet nichts auf, speichert nichts und überträgt nichts von deinem Audio und erhält nur den daraus entstandenen Text. Wenn du einen so eingesprochenen Artikel zu einer geteilten Liste hinzufügst, wird dieser Text wie jeder andere Artikel hochgeladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung), die du über die Berechtigungsabfrage des Betriebssystems erteilst. Für die Verarbeitung durch den Spracherkennungsdienst des Betriebssystems ist der jeweilige Anbieter verantwortlich, nicht wir.

Du kannst Kamera- und Mikrofonberechtigung jederzeit in den Einstellungen deines Geräts entziehen. Der Rest der App funktioniert weiter.

7. Zahlungen

Basketiers ist kostenlos. Es gibt keine In-App-Käufe, keine Abonnements und keine Werbung. Wir erheben und verarbeiten daher keine Zahlungsdaten — keine Kartennummern, keine Rechnungsadressen, keine Kaufhistorie. Sollte sich das ändern, wird diese Erklärung vorher angepasst.

8. Keine Analyse, keine Werbung, kein Tracking

• Keine Analyse. Die App enthält keine Analyse- oder Nutzungsverfolgungs-Software.
• Keine Werbung. Es gibt keine Anzeigen und keine Werbe-IDs.
• Kein Tracking. Wir verfolgen dich nicht über andere Apps oder Websites hinweg und bilden keine Werbeprofile.
• Kein Verkauf, keine Weitergabe zu Werbezwecken. Wir verkaufen deine Daten nicht und geben sie niemandem für dessen Marketing.
• Kein Absturzberichtsdienst. Die App hat eine Stelle, an der ein Absturzberichtsdienst sitzen würde; sie ist bewusst leer. Es wird nichts gesendet.
• Keine automatisierte Entscheidungsfindung. Es findet kein Profiling und keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt.

9. Empfänger und Auftragsverarbeiter

Wir setzen wenige Dienstleister ein, und nur für die oben genannten Zwecke. Sie verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO) oder als eigenständig Verantwortliche, soweit unten angegeben.

Resend wird nur eingesetzt, wenn der Einladungsversand aktiviert ist. Solange er aus ist, wird keine E-Mail verschickt und keine Adresse einer eingeladenen Person erreicht Resend.

Übermittlung in Drittländer

Clerk, Vercel, Resend und Expo können Daten außerhalb der EU bzw. des EWR verarbeiten, insbesondere in den USA. Diese Übermittlung stützt sich auf:

• Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die mit den Anbietern vereinbart sind, und
• soweit der jeweilige Anbieter nach dem EU-US Data Privacy Framework zertifiziert ist, auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO.

Supabase (Datenbank und Hosting der geteilten Listen) und Zoho (E-Mail-Postfach) werden in Rechenzentren in der EU betrieben, Supabase in Frankfurt am Main. Für diese beiden Dienstleister findet deshalb keine Übermittlung in ein Drittland statt.

Eine Kopie der Garantien oder weitere Informationen dazu erhältst du auf Anfrage an die oben genannte E-Mail-Adresse. Ob ein Anbieter aktuell DPF-zertifiziert ist, kannst du zusätzlich in der Liste der Europäischen Kommission und in den Datenschutzhinweisen des Anbieters prüfen.

10. Wie lange wir speichern

Gesetzliche Aufbewahrungsfristen, die eine längere Speicherung vorschreiben, bestehen für diese Daten nicht. Wir löschen oder anonymisieren, sobald der Zweck entfällt.

11. Konto löschen und Daten löschen

In der App: Melde dich an, öffne Einstellungen und wähle Konto löschen, dann bestätigen. Dein Konto und alle in Abschnitt 3 und 4 genannten Daten werden sofort gelöscht.

Über die Website: Die Seite Konto löschen beschreibt den Weg Schritt für Schritt — auch für den Fall, dass du dich nicht mehr anmelden kannst. Sie ist ohne Anmeldung und ohne JavaScript lesbar und ist die Adresse, die im Google-Play-Datenformular hinterlegt ist.

Was dabei gelöscht wird: dein Konto samt E-Mail-Adresse und Kennung, die geteilten Listen, deren Eigentümer du bist (samt Artikeln, für alle Mitlesenden), deine Mitgliedschaften auf Listen anderer Personen samt deiner dort gespeicherten E-Mail-Adresse, sowie offene Einladungen, die an deine Adresse gerichtet sind.

Was bleibt: Listen, die nur auf deinem Gerät existierten, bleiben dort — sie waren nie Teil deines Kontos. Lösche sie in der App oder deinstalliere sie. Bereits versandte Einladungs-E-Mails können wir nicht zurückholen.

Frist: Die Löschung in der App wirkt sofort. Anfragen per E-Mail bearbeiten wir unverzüglich, spätestens innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

12. Deine Rechte

Du hast nach der DSGVO insbesondere folgende Rechte:

• Auskunft (Art. 15 DSGVO) — welche Daten wir zu dir verarbeiten
• Berichtigung (Art. 16 DSGVO) — unrichtige Daten korrigieren
• Löschung (Art. 17 DSGVO) — siehe Abschnitt 11
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — die Daten, die du uns bereitgestellt hast, in einem gängigen Format erhalten
• Widerspruch (Art. 21 DSGVO) — gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — jederzeit, mit Wirkung für die Zukunft, zum Beispiel bei Kamera und Mikrofon

Für alle diese Rechte genügt eine E-Mail an hallo@basketiers.de. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann sich diese Frist nach Art. 12 Abs. 3 DSGVO verlängern, worüber wir dich informieren.

Beschwerde bei einer Aufsichtsbehörde

Du hast nach Art. 77 DSGVO das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), zuständig für Bayern.

Die Anschriften aller Aufsichtsbehörden der Länder findest du beim Bundesbeauftragten für den Datenschutz. Dein Beschwerderecht bei einer anderen zuständigen Behörde bleibt unberührt.

13. Diese Website

Diese Website wird bei Vercel gehostet. Beim Abruf verarbeitet Vercel als Auftragsverarbeiter technisch notwendige Verbindungsdaten, insbesondere deine IP-Adresse, Datum und Uhrzeit des Zugriffs, die angeforderte Datei, die übertragene Datenmenge, den Referrer und den User-Agent deines Browsers. Diese Daten landen in Server-Logs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am sicheren und stabilen Betrieb der Website und an der Abwehr von Angriffen. Speicherdauer: höchstens 30 Tage.

Diese Website setzt keine Cookies, verwendet keine Analysewerkzeuge, keine Werbung und bindet keine externen Ressourcen ein. Schriften stammen aus dem System deines Geräts. Es gibt kein Kontaktformular: Der E-Mail-Link öffnet dein eigenes Mailprogramm, und erst wenn du die Nachricht dort abschickst, verlässt sie dein Gerät. Die Seiten funktionieren auch mit deaktiviertem JavaScript vollständig — es wird schlicht keins ausgeliefert.

Die wenigen Verweise auf externe Seiten (etwa Gesetzestexte oder Datenschutzhinweise unserer Dienstleister) sind einfache Links. Erst wenn du sie anklickst, baut dein Browser eine Verbindung zum Zielserver auf; dabei gelten die Bedingungen des jeweiligen Anbieters.

14. Kinder und Jugendliche

Basketiers richtet sich nicht an Kinder. Die App ist nicht für Personen unter 16 Jahren bestimmt; nach Art. 8 DSGVO gilt in Deutschland für Dienste der Informationsgesellschaft die Altersgrenze von 16 Jahren. Wir legen keine Konten für Kinder an und erheben wissentlich keine Daten von Kindern. Wenn du glaubst, dass ein Kind uns Daten gegeben hat, schreib uns — wir löschen sie.

15. Sicherheit

Geteilte Listen sind durch Zugriffsregeln in der Datenbank geschützt, sodass eine Liste nur für die Personen lesbar ist, die darauf stehen. Alle Verbindungen laufen über HTTPS. Anmeldedaten werden ausschließlich von Clerk verarbeitet und laufen nicht durch die App.

Kein System ist vollkommen sicher. Wir können nicht versprechen, dass Daten niemals in die Hände von jemandem geraten, der sie nicht haben sollte.

16. Musst du Daten bereitstellen?

Nein. Die Nutzung ohne Konto erfordert keine Angabe personenbezogener Daten. Die Anmeldung ist freiwillig und nur nötig, wenn du teilen willst; die dort angegebene E-Mail-Adresse ist für die Anmeldung erforderlich. Ohne sie kann die Teilen-Funktion nicht bereitgestellt werden. Nachteile entstehen dir daraus nicht — die App bleibt ohne Konto vollständig nutzbar.

17. Änderungen dieser Erklärung

Wenn sich diese Erklärung ändert, ändert sich das Datum oben. Über wesentliche Änderungen informieren wir in den Versionshinweisen der App. Für die Nutzung nach einer Änderung gilt die jeweils hier veröffentlichte Fassung.

18. Kontakt

Fragen zu dieser Erklärung oder Anträge zu deinen Rechten:

Rechtsgrundlagen dieser Erklärung: Art. 13 DSGVO, Art. 77 DSGVO, § 5 DDG. Diese Erklärung ist ein sorgfältig recherchierter Entwurf und keine Rechtsberatung; siehe Impressum.