Datenschutzerklärung

Diese Datenschutzerklärung informiert dich gemäß Art. 13 Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten bei der Nutzung der Anwendung Waskowi (nachfolgend „App“).

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Christian Berres
Köllerstr. 59
Saarwellingen
Deutschland

E-Mail: christianberres1@gmail.com

2. Welche Daten wir verarbeiten

Bei der Nutzung von Waskowi verarbeiten wir folgende personenbezogene Daten:

a) Konto- und Login-Daten

• E-Mail-Adresse (dient zugleich als Benutzername)
• Passwort (nur als sicherer bcrypt-Hash, niemals im Klartext)
• Optional: Anzeigename
• Zeitpunkt der Registrierung, letzter Login
• Zeitpunkt der letzten Passwort-Änderung (pwd_changed_at) zur Token-Invalidierung

b) Nutzungsdaten

• Selbst angelegte Gerichte (Name, Beschreibung, Zutaten, Zubereitung, Portionen, Küche)
• Zugehörige Fotos (als Base64-Blob in MongoDB gespeichert)
• Einkaufslisten und deren Status (abgehakte Positionen, Notizen)
• Notizen inkl. optionaler Sprachaufnahmen (temporär zur Transkription; siehe 4b)
• Chatverlauf mit dem Koch-Assistenten
• Onboarding-Antworten (Ernährungsvorlieben, Küchen, Ausschlüsse)
• Sprach-Einstellung (de / en)

c) Technische Daten

• IP-Adresse (zur Auslieferung der Antworten und für Rate-Limiting; nicht dauerhaft gespeichert)
• Zeitstempel der API-Aufrufe (Server-Logs, i. d. R. 14 Tage)
• Nutzeragent (App-Version, Plattform iOS/Android/Web)

d) Feedback

• Wenn du das Feedback-Formular nutzt: Feedback-Text und E-Mail-Zeitpunkt

e) Geräteberechtigungen (Kamera & Mikrofon)

• Kamera: Der Zugriff erfolgt ausschließlich, wenn du ein Rezept aus einem Kochbuch per Foto einscannst (KI-Rezept-Scan). Das aufgenommene Bild wird zur Texterkennung an den KI-Dienst (siehe 4b) übermittelt und nicht dauerhaft gespeichert, sofern du das Rezept nicht selbst speicherst.
• Mikrofon: Der Zugriff erfolgt ausschließlich, wenn du mit dem Koch-Assistenten sprichst oder eine Sprachnotiz erstellst. Die Aufnahme wird zur Transkription (Sprach-zu-Text) verarbeitet und danach automatisch gelöscht (siehe 4b und 5).

Beide Berechtigungen werden erst nach deiner ausdrücklichen Freigabe und nur für die jeweilige Funktion genutzt. Du kannst die Berechtigungen jederzeit in den Systemeinstellungen deines Geräts widerrufen; die betreffende Funktion steht dann ggf. nicht mehr zur Verfügung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir angeforderten Funktion).

3. Zwecke und Rechtsgrundlagen der Verarbeitung

4. Verarbeitung durch Auftragsverarbeiter / Drittdienste

Zur Bereitstellung der App nutzen wir folgende Dienste. Mit allen Anbietern bestehen (bzw. werden bestehen) Auftragsverarbeitungs­verträge nach Art. 28 DSGVO oder es liegen geeignete Garantien nach Art. 46 DSGVO vor:

a) Hosting
Anbieter: Emergent Platform (Kubernetes-Cluster)
Standort der Server: USA – abgesichert über EU-Standardvertragsklauseln (SCC)
Verarbeitete Daten: Alle App-Daten, Server-Logs
Bei Verarbeitung in Drittländern (z. B. USA) stützen wir uns auf EU-Standardvertragsklauseln (SCC) und ggf. das EU-U.S. Data Privacy Framework.

b) KI-Dienste (LLM-Anbieter)
Für die generativen Funktionen (Gericht-Erstellung aus Text, Rezept-Scan aus Foto, Chat-Assistent, Sprach-zu-Text, Bild-Generierung) werden deine Eingaben an folgende Anbieter übermittelt:

• OpenAI, Inc., 3180 18th St, San Francisco, CA 94110, USA — für GPT-Text-Modelle, Whisper (Sprach-zu-Text), GPT-Image-1, Text-to-Speech
• Anthropic PBC, 548 Market St PMB 90375, San Francisco, CA 94104, USA — für Claude-Text-Modelle
• Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA — für Gemini-Bild- und Text-Modelle

Die Übermittlung erfolgt in die USA. Rechtsgrundlage: EU-Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework (Adequacy Decision 2023). Sprachaufnahmen werden nach der Transkription automatisch gelöscht und nicht dauerhaft gespeichert.

c) E-Mail-Versand
Anbieter: Resend, Inc., 2261 Market Street #4933, San Francisco, CA 94114, USA
Zweck: Versand von Passwort-Reset-E-Mails
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
Übermittlung in die USA basierend auf EU-Standardvertragsklauseln.

d) Datenbank
Anbieter: MongoDB
Standort: innerhalb der Emergent-Infrastruktur (siehe 4a)
Zweck: dauerhafte Speicherung aller App-Daten

5. Speicherdauer

• Konto-Daten: solange dein Konto besteht + 30 Tage nach Löschanfrage (zur endgültigen Backup-Bereinigung)
• Gerichte, Listen, Notizen, Fotos: solange dein Konto besteht bzw. bis du sie manuell löschst
• Server-Logs (IP-Adresse, Timestamps): 14 Tage, danach automatische Löschung
• Passwort-Reset-Tokens: 1 Stunde ab Erstellung
• Sprachaufnahmen: nur während der Transkription (typischerweise < 30 Sekunden)
• Feedback-Nachrichten: dauerhaft, bis du eine Löschung anforderst

6. Deine Rechte als betroffene Person

Du hast folgende Rechte gegenüber uns:

• Auskunft (Art. 15 DSGVO): Bestätigung, ob wir Daten von dir verarbeiten, sowie Kopie dieser Daten
• Berichtigung (Art. 16 DSGVO): Korrektur falscher Daten
• Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO): Löschung aller Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt deiner Daten in einem strukturierten, maschinenlesbaren Format
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO), soweit sie auf berechtigtem Interesse basiert
• Widerruf einer erteilten Einwilligung jederzeit für die Zukunft
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist deine Landesdatenschutzbehörde am Wohnort oder für Deutschland: Unabhängiges Datenschutzzentrum Saarland – Die Landesbeauftragte für Datenschutz und Informationsfreiheit, Fritz-Dobisch-Straße 12, 66111 Saarbrücken

Kontoauskunft & Löschung in der App: Du kannst dein Konto direkt in den Profil-Einstellungen der App löschen. Die vollständige Löschung inkl. aller Daten erfolgt innerhalb von 30 Tagen. Alternativ kannst du eine Löschung über die Seite Konto & Daten löschen beantragen.

7. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO um:

• Transportverschlüsselung aller Verbindungen per TLS 1.3
• Passwort-Hashing mit bcrypt und individuellem Salt
• Session-Tokens (JWT) mit begrenzter Laufzeit (30 Tage) und automatischer Invalidierung bei Passwort-Änderung
• Zugriffsbeschränkung auf Server nur über SSH-Keys, keine Passwort-Authentifizierung
• Backups verschlüsselt gespeichert
• Prinzip der Datenminimierung: wir erheben nur die Daten, die für den Betrieb der App erforderlich sind
• Rate-Limiting gegen Brute-Force-Angriffe auf Login und Passwort-Reset

8. Cookies und lokaler Speicher

Die App verwendet keine Tracking-Cookies und kein Analytics. Auf deinem Gerät werden folgende Daten lokal gespeichert:

• JWT-Token (in Expo SecureStore / AsyncStorage) — zur Aufrechterhaltung der Sitzung
• Gewählte Portionen pro Gericht (in AsyncStorage) — zur Wiederherstellung deiner letzten Auswahl
• Sprach-Einstellung — zur Anzeige der App-Oberfläche in deiner bevorzugten Sprache
• Offline-Queue — für Aktionen, die während fehlender Internetverbindung durchgeführt wurden

Diese Daten verlassen dein Gerät nur, wenn du eine authentifizierte Anfrage an unseren Server sendest.

9. Automatisierte Entscheidungsfindung / Profiling

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Die KI-generierten Rezept-Vorschläge sind reine Assistenzfunktionen ohne rechtliche Wirkung.

10. Altersbeschränkung

Die App unterliegt keiner Altersbeschränkung und kann grundsätzlich von Personen jeden Alters genutzt werden. Bei der Nutzung durch Minderjährige empfehlen wir, dass diese im Einvernehmen mit den Sorgeberechtigten erfolgt.

11. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann von Zeit zu Zeit angepasst werden, um Änderungen der Rechtslage oder der App-Funktionen widerzuspiegeln. Die jeweils aktuelle Version ist in der App unter „Profil → Datenschutz“ verfügbar.

12. Kontakt zum Datenschutz

Für alle Fragen zum Datenschutz oder zur Ausübung deiner Rechte erreichst du uns unter:

E-Mail: christianberres1@gmail.com
Post: siehe Ziffer 1

Wir antworten in der Regel innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO).