Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für den Betrieb von Bodex im Sinne der DSGVO: [Vollständiger Vor- und Nachname], Einzelunternehmer [Straße und Hausnummer, Postleitzahl, Ort, Land] E-Mail für Datenschutzanliegen: [E-Mail-Adresse]

Diese Informationen betreffen die Rezept-, Scan-, Team-, Veranstaltungs- und Planungsfunktionen von Bodex. Bei Daten, die ein Betrieb über seine Beschäftigten oder Gäste verwaltet, kann der Betrieb selbst Verantwortlicher und Bodex Auftragsverarbeiter sein. Die Rollen richten sich nach der tatsächlichen Verarbeitung.

Vor Freigabe zu klären: Betreiberkontakt ergänzen; Erforderlichkeit eines Datenschutzbeauftragten prüfen. Für die Verarbeitung im Auftrag von Betrieben einen Vertrag nach Art. 28 DSGVO und dokumentierte Weisungen vorsehen.

2. Aufruf der App, Hosting und Sicherheit

Beim Aufruf werden zur Auslieferung der App technische Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeit des Aufrufs, angefragte Adresse sowie Browser- und Geräteinformationen. Die App verwendet Base44 für Hosting, Anmeldung, Datenhaltung, Dateispeicherung und Integrationen. Das veröffentlichte Base44-DPA nennt Base44, Inc. als Dienstleister.

Soweit für die angeforderte Leistung erforderlich, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO. Für notwendige Sicherheitsmaßnahmen, Fehleranalyse und Missbrauchsabwehr kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht; berechtigtes Interesse ist ein sicherer und verlässlicher Betrieb. Nicht erforderliche Nutzungsanalyse ist davon gesondert zu beurteilen.

Vor Freigabe zu klären: Anwendbaren Auftragsverarbeitungsvertrag mit Base44, vollständige Anbieteranschrift, aktuelle Unterauftragnehmer, Verarbeitungsorte sowie tatsächliche Protokoll- und Backupfristen dokumentieren. Diese Angaben sind hier noch nicht abschließend verifiziert.

3. Benutzerkonto und Anmeldung

Zur Registrierung und Anmeldung werden E-Mail-Adresse, Authentifizierungsdaten und Kontokennung verarbeitet. Hinzu kommen, soweit angegeben, Name, Profilbild, berufliche Angaben und Einstellungen. Anmeldung, Bestätigungscodes und Passwortzurücksetzung werden über Base44 bereitgestellt. Zweck ist die Einrichtung, Absicherung und Verwaltung des Benutzerkontos; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die App bietet außerdem die Anmeldung mit Google an. Erst wenn Sie diese Option wählen, erfolgt die Weiterleitung zur Anmeldung bei Google. Nach erfolgreicher Freigabe werden die für die Anmeldung bereitgestellten Konto- und Profilinformationen verarbeitet. Die Verarbeitung durch Google unterliegt zusätzlich dessen Datenschutzhinweisen. Die E-Mail-Anmeldung steht als Alternative bereit.

Vor Freigabe zu klären: Die tatsächlich konfigurierten Google-Berechtigungen und beteiligten Google-Gesellschaften vor Freigabe abgleichen. Google-Anmeldung und Google Analytics sind unterschiedliche Verarbeitungen.

4. Rezepte, Planung, Kontakte und Freigaben

Bodex verarbeitet die von Ihnen eingegebenen Rezepte, Zutaten, Fotos, Dokumente, Notizen und Kalkulationen sowie Daten zu Teams, Mitgliedern, Dienstplänen, Veranstaltungen und Kontakten. Dazu können Namen, E-Mail-Adressen, Telefonnummern, Termine und Personenzahlen gehören. Nutzungszähler und Tarifmerkmale dienen der Verwaltung angezeigter Kontingente. Rechtsgrundlage für Ihre angeforderte Leistung ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.

Freundschaftsanfragen, Einladungen und bewusst ausgelöste Rezept- oder Teamfreigaben übermitteln die dafür vorgesehenen Angaben an die jeweiligen Empfänger. Wer Informationen über andere Personen eingibt, muss hierzu berechtigt sein und die betroffenen Personen erforderlichenfalls nach Art. 13 oder 14 DSGVO informieren. Eine Vertragsbeziehung mit dem eingabenden Nutzer ist nicht automatisch eine Rechtsgrundlage für alle Daten Dritter.

Gesundheitsbezogene Angaben, etwa ein einer Person zugeordneter Allergiehinweis oder ein Krankheitsstatus im Dienstplan, können unter Art. 9 DSGVO fallen. Bitte keine solchen Daten eingeben, solange Rechtsgrundlage, Informationspflichten und besondere Schutzmaßnahmen nicht geklärt sind. Allgemeine Zutatenallergene ohne Personenbezug sind hiervon zu unterscheiden.

Vor Freigabe zu klären: Die bestehenden Zugriffsregeln sind noch nicht durchgehend als nutzer- und teamisoliert bestätigt. Vor produktiver Verarbeitung personenbezogener Team- und Veranstaltungsdaten müssen Lese- und Schreibrechte einschließlich serverseitiger Funktionen überprüft und abgesichert werden. Diese Erklärung ersetzt keine Zugriffskontrolle.

5. Dateiuploads und Sichtbarkeit

Bei einem Upload werden die ausgewählte Datei und gegebenenfalls daraus extrahierte Inhalte gespeichert und verarbeitet. Der aktuelle Stand verwendet unterschiedliche Speicherwege: Unter anderem Rezeptfotos, Profilbilder, Lieferzettel und bestimmte Menü- und Veranstaltungsimporte nutzen öffentliche Dateiablagen. Wer die jeweilige URL besitzt, kann diese Dateien ohne Anmeldung abrufen. Ein privates Rezept macht seine Bilddatei daher nicht automatisch privat.

Fotos der Testscan-Funktion und Function Sheets verwenden einen privaten Speicherweg mit zeitlich begrenzten Abruflinks. Testscan-Fotos werden für die angeforderte KI-Analyse kurzzeitig über einen signierten Link bereitgestellt; das Foto selbst bleibt im privaten Dateispeicher. Das einmalige Testkontingent von zwei Scans wird serverseitig anhand der angemeldeten Kontokennung verwaltet, nicht anhand eines löschbaren Browserzählers. Auch signierte Links sollten nicht unbefugt weitergegeben werden.

Vor Freigabe zu klären: Die öffentlichen Uploadwege sind für vertrauliche oder personenbezogene Dokumente nicht ausreichend geschützt. Vor solchen Uploads ist eine Umstellung auf privaten Speicher einschließlich Anzeige, KI-Verarbeitung und Altdateien erforderlich. Bis dahin nur nicht vertrauliche Inhalte ohne personenbezogene Daten verwenden. Das Löschen eines Datensatzes bestätigt nicht automatisch die Löschung seiner Datei.

6. KI-gestützte Verarbeitung von Bildern und Texten

Wenn Sie eine Scan-, Erkennungs- oder Generierungsfunktion auslösen, übermittelt Bodex die dafür benötigten Dateien, Texte und Anweisungen an die KI-Integrationen von Base44. Diese liefern beispielsweise Rezepttitel, Zutaten, Mengen oder Veranstaltungsangaben zurück, die in der App angezeigt oder gespeichert werden. Die Verarbeitung dient der von Ihnen angeforderten Funktion (Art. 6 Abs. 1 lit. b DSGVO); Angaben über Dritte erfordern eine gesonderte Prüfung.

Der untersuchte Rezept-Fotoscan wählt ausdrücklich Google Gemini. Andere Aufrufe nutzen eine automatische Modellauswahl oder die Dateiextraktion von Base44. Eine ausschließliche Verarbeitung durch OpenAI ist daher nicht belegt. Ob OpenAI oder weitere Anbieter bei einem konkreten Aufruf eingesetzt werden, hängt von der Integration und den aktuellen Unterauftragnehmern ab.

Die KI-Ergebnisse können fehlerhaft sein und müssen vor Verwendung geprüft werden. Die hier beschriebenen Erkennungsfunktionen treffen keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Personen im Sinne von Art. 22 DSGVO.

Vor Freigabe zu klären: Empfänger je KI-Funktion, Speicherfristen, Nutzung zu Trainingszwecken und Transfermechanismen anhand der tatsächlich geltenden Verträge klären. Es wird weder eine ausschließliche EU-Verarbeitung noch ein genereller Ausschluss von Training zugesichert. Personenbezug in Scans vorab entfernen.

7. Google Analytics und Plattformstatistik

Der Betreiber hat Google Analytics oder ein vergleichbares Werkzeug als beabsichtigte bzw. zu prüfende Analyse angegeben. Im untersuchten Anwendungscode wurde kein eigener Google-Analytics-Tag und keine Mess-ID gefunden. Eine Einbindung über externe Plattform- oder Veröffentlichungseinstellungen ist damit nicht ausgeschlossen.

Die optionale clientseitige Base44-Analyse ist in dieser Fassung deaktiviert. Das ist keine Zusage vollständiger Trackingfreiheit: Laut Plattformdokumentation können unter anderem Seitenaufrufe und Anmeldeereignisse weiterhin erfasst werden. Ob Sitzungsaufzeichnungen oder weitere Messungen über Plattform-Einstellungen aktiv sind, wurde nicht verifiziert.

Nicht erforderliche Analyse und entsprechende Zugriffe auf Ihr Gerät dürfen erst nach wirksamer Einwilligung erfolgen (§ 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO). Eine Ablehnung darf die grundlegende Nutzung nicht verhindern. Einwilligungen müssen ebenso einfach widerrufbar sein wie erteilbar; ein Widerruf wirkt für die Zukunft.

Vor Freigabe zu klären: Vor Freigabe tatsächliche Tracker und Sitzungsaufzeichnungen in der veröffentlichten App prüfen und bis zu einer wirksamen Einwilligungslösung deaktiviert halten. Es ist noch kein Google-Analytics-Einwilligungsprozess eingerichtet. Bei Einsatz sind Anbieter, Messzwecke, Datenarten, Cookie-Laufzeiten, Ereignisspeicherung, Empfänger und Drittlandtransfers konkret zu ergänzen. Ein bloßer Hinweisbanner genügt nicht.

8. Speicherung im Browser und externe Ressourcen

Die App nutzt lokalen Browserspeicher insbesondere für Anmeldung, Arbeitsbereich, Ansichten, Favoriten, Scanstände und Offline-Daten. Der Offline-Zwischenspeicher kann Profilinformationen, Rezepte und Zutaten enthalten. Ein Teil dieser Einträge bleibt über das Schließen des Browsers hinaus erhalten, bis er überschrieben oder über die Website-Daten des Browsers gelöscht wird. Auf gemeinsam genutzten Geräten sollten Sie diese Daten nach der Nutzung entfernen.

Nur Speicherungen oder Zugriffe, die für einen von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind, fallen unter § 25 Abs. 2 Nr. 2 TDDDG. Für andere Zugriffe ist vorab eine Einwilligung erforderlich. Die nachfolgende Verarbeitung personenbezogener Daten braucht zusätzlich eine Grundlage nach der DSGVO.

Die externe Google-Fonts-Einbindung wurde entfernt; die Schrift verwendet eine lokale Systemalternative. Bilder und weitere Ressourcen können weiterhin über die in der App verwendeten Hosting- und Medienanbieter geladen werden, wobei Verbindungsdaten an diese Anbieter gelangen.

Vor Freigabe zu klären: Alle lokalen Einträge auf Erforderlichkeit und Löschung prüfen, insbesondere Offline-Kopien bei Abmeldung oder Kontowechsel. Verwendete Medienhosts und gegebenenfalls weitere externe Ressourcen in die Empfängerprüfung aufnehmen.

9. Kontakt und Support

Bei einer Kontaktaufnahme verarbeiten wir Ihre Kontaktdaten, die Nachricht und erforderliche Informationen zum Anliegen, um darauf zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertrags- oder vorvertraglichen Anliegen, ansonsten Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses an der Beantwortung. Übermitteln Sie bitte nur Daten, die für das Anliegen erforderlich sind.

10. Aktuell kostenlos; mögliche spätere Abonnements

Bodex wird nach Betreiberangabe derzeit kostenlos angeboten. Eine spätere Einführung kostenpflichtiger Abonnements ist geplant. Diese Erklärung behauptet deshalb keine derzeitige Zahlungsabwicklung über Stripe, Wix Payments oder einen anderen konkreten Zahlungsdienst.

Vor Aktivierung eines kostenpflichtigen Angebots werden Informationen über Zahlungsanbieter, Rechnungs- und Transaktionsdaten, Rechtsgrundlagen, Empfänger und Aufbewahrungsfristen ergänzt. Ein kostenloses Konto wird nicht allein durch einen solchen Planungshinweis kostenpflichtig.

11. Empfänger und Übermittlungen außerhalb des EWR

Empfänger können die für Hosting, Anmeldung, Dateispeicherung, E-Mail und KI eingesetzten Dienstleister sowie Empfänger ausdrücklich ausgelöster Freigaben sein. Bei einer gesetzlichen Pflicht können Daten an Behörden oder sonstige berechtigte Stellen übermittelt werden (Art. 6 Abs. 1 lit. c DSGVO).

Base44 und seine Unterauftragnehmer können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Erforderlich sind die Voraussetzungen der Art. 44 ff. DSGVO, etwa ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien wie EU-Standardvertragsklauseln, gegebenenfalls mit ergänzenden Maßnahmen. Welche Grundlage im konkreten Fall gilt, muss anhand der beteiligten Anbieter nachgewiesen werden.

Vor Freigabe zu klären: Aktuelle Unterauftragnehmerliste, Länder und anwendbare Transfergarantien ergänzen. Eine Zertifizierung unter dem EU-US Data Privacy Framework darf nur für tatsächlich gelistete und vom Geltungsbereich erfasste Empfänger behauptet werden. Informationen und Kopien einschlägiger Garantien müssen über den Datenschutzkontakt erhältlich sein.

12. Speicherdauer und Löschung

Personenbezogene Daten sollen nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist. Kontodaten und gespeicherte Inhalte werden für die laufende Nutzung benötigt; nach deren Ende ist eine Löschung zu veranlassen, soweit keine gesetzlichen Pflichten oder zulässigen Aufbewahrungsgründe entgegenstehen. Bei gesetzlichen Aufbewahrungspflichten ist die weitere Nutzung auf diese Zwecke zu beschränken.

Sie können die Löschung Ihres Kontos und der zugehörigen personenbezogenen Daten über den im Impressum genannten Kontakt verlangen. Dateien, Freigabekopien, relationale Datensätze und Sicherungskopien müssen dabei gesondert berücksichtigt werden. Daten, die andere Verantwortliche rechtmäßig selbst verarbeiten, können anderen Löschpflichten unterliegen.

Vor Freigabe zu klären: Es wurde kein vollständiger automatischer Konto-, Datei- und Backup-Löschprozess bestätigt. Verbindliche Fristen für Konten, Uploads, Importdaten, Support, Protokolle und Backups sowie einen ausführbaren Lösch- und Auskunftsprozess festlegen. Keine pauschale Löschung nach 30 Tagen zugesichert.

13. Ihre Datenschutzrechte

Soweit die gesetzlichen Voraussetzungen vorliegen, haben Sie folgende Rechte:

• Auskunft und Kopie Ihrer personenbezogenen Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung und Einschränkung der Verarbeitung (Art. 17 und 18 DSGVO).
• Datenübertragbarkeit bei automatisierter Verarbeitung auf Grundlage einer Einwilligung oder eines Vertrags (Art. 20 DSGVO).
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die vorherige Verarbeitung bleibt hiervon unberührt.
• Widerspruch aus Gründen Ihrer besonderen Situation gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO). Gegen Direktwerbung können Sie jederzeit ohne Begründung widersprechen.
• Beschwerde bei einer Datenschutzaufsichtsbehörde, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort eines mutmaßlichen Verstoßes (Art. 77 DSGVO).

Vor Freigabe zu klären: Für den Betrieb zuständige Landesdatenschutzaufsicht nach Ergänzung des Sitzes benennen. Anfragen sind grundsätzlich binnen eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO); Identitätsnachweise nur soweit erforderlich anfordern.

14. Bereitstellung und Änderungen

Für ein Benutzerkonto sind die erforderlichen Anmeldedaten notwendig; ohne sie können kontogebundene Funktionen nicht bereitgestellt werden. Optionale Profilangaben sind freiwillig. Ohne ausgewählte Datei kann eine Scan-Funktion nicht ausgeführt werden. Eine nicht erforderliche Analyse-Einwilligung ist keine Voraussetzung für die Grundfunktionen.

Diese Informationen sind bei Änderungen der tatsächlichen Verarbeitung zu aktualisieren. Ein neuer Text ersetzt weder eine erforderliche Einwilligung noch eine Rechtsgrundlage oder technische Schutzmaßnahmen.