Datenschutzerklärung der App

Datenschutzerklärung — Gusti

Stand: 2026-10-18 · Version 2.23 (Nachtrag gleicher Tag, W6c P2-1, Einwilligungssatz eingegrenzt: §3.5 (beide Stellen) — die Aussage, dass etwas ohne Einwilligung auf dem Gerät bleibt, gilt nur für Rezepte, Merkliste und KI-Verlauf (nicht mehr für „alles“); KI-Rezepte werden nach §3.22 auch ohne Einwilligung ohne Namen und Kontoverbindung veröffentlicht (Angleichung an den Dialogtext v1.4); weiterer Nachtrag gleicher Tag, W6c P3-2: §3.21 — Testphasen-Erinnerung wird beim Abmelden, Kontowechsel und bei der Kontolöschung storniert und nach dem Wieder-Anmelden neu geplant, Gate-Punkt 31; weiterer Nachtrag gleicher Tag, W6c P2-3: §7 — Halbsatz zur Löschung per E-Mail, Gate-Punkt 30 (Support-Ablauf); weiterer Nachtrag gleicher Tag, Entscheidung Noah 18.10.: §3.5 — Kontolöschung per E-Mail mit demselben Standard, „mitlöschen“ per E-Mail; weiterer Nachtrag gleicher Tag, W6c Runde 2 (Entscheidung Noah 18.10.): §3.2/§7 — bei der Löschung per E-Mail trennen wir „Mit Apple anmelden“ nicht, du entfernst die Verbindung selbst (Menüpfad genannt), Gate-Punkt 30; §6/§7 — Löschanfrage per E-Mail und unsere Bestätigung bleiben bis zum Ende des dritten Kalenderjahres nach dem Jahr des Abschlusses, Gate-Punkt 32; ENTWURF, Rechtstexte-Wächter A25 Welle 6b 18.10.2026: §2/§3.5/§3.6/§3.7a/§3.8/§3.11/§3.12/§3.13/§3.16/§3.18/§3.22/§3.24/§4/§6/§7 — Cloud-Bibliothek mit ausdrücklicher Einwilligung (eigene, importierte [nur Text] und gemerkte Rezepte, Fotos, KI-Verlauf), Veröffentlichen eigener Rezepte als Verschieben, Sperren und Prüfpflicht, Kontolöschung „ohne deinen Namen und ohne Verbindung zu deinem Konto“ oder mitlöschen, Datenexport, Fristen; §3.22 — KI-Verlauf mit Einwilligung mit dem Konto verknüpft, sonst anonym wie bisher, Kennzeichnung nach Art. 50 KI-VO (sichtbar „KI-generiert“ und maschinenlesbar, Katalog rückwirkend); §3.24 — Melden mit Begründung, Eingangsbestätigung, Begründung von Entscheidungen, Gegenvorstellung; Mindestalter 18 statt 16 (§3.14a, §3.20, §9; Gemini-API-Bedingungen); §3.3/§4 — der Geräte-Abruf zur Passwortstärke entfällt (auth-password-check wird stillgelegt), hCaptcha auch beim Austausch im Familien-Abo; §1/§5 — Datenschutzbeauftragter bei Pflicht-DSFA, Übermittlungen zwischen LENO und Supabase als Drittlandübermittlung; §2/§3.18/§6 — Frist der Einwilligungsnachweise (Jahresende-Regel, gilt ab Migration 51); §9 — die Sperre nach dem Einstieg gilt auch für Registrierung und Anmeldung mit Google/Apple; alle Rechtsprüfungs-Marker auf Recherche-Verweise umgestellt (E16); Gate 5 wieder aktiv, Gate 24–29 neu; keine neuen Dienstleister; Fix-Runde nach Review W6b (gleicher Tag, gleiche Version 2.23): §2/§3.5/§6 — Aktionsprotokoll überdauert einen Widerruf bis zu 7 Tage, Zähler der Bibliothek bis zur Kontolöschung, Fristen 90/7 Tage erst mit dem Aufräum-Lauf library-housekeeping (Gate 24); §3.5/§7 — bei der Kontolöschung werden Rezepte in Prüfung oder nach Meldungen ausgeblendet immer mitgelöscht; §2/§3.5/§6 — Prüfpflicht wirkt 90 Tage, der Vermerk bleibt bis zur Kontolöschung; Gate 24 — Website erst nach Gate 24 deployen) · Vorher: Version 2.22, Stand: 2026-10-16 (ENTWURF, Rechtstexte-Wächter Fahrplan-Workflow 16.10.2026: §2/§3.14a/§6/§7 — Familien-Abo: der geschlossene Plan-Datensatz wird 30 Tage nach der Schließung gelöscht und der Postausgang bei Korrektur, Austausch, Annahme und Schließung sofort storniert (Entscheidung Noah 16.10.; Gate 19); §7 — Datenexport: zusätzliche Konto-Felder (Gate 18) und Hinweis zur Export-Datei im Zwischenspeicher; §3.2/§3.13 — Abmelden auf dem Gerät bei Widerruf der Apple-Verbindung und drei neue lokale technische Merker (Gate 22); §3.3 — Prüfung auf bekannt gewordene Passwörter (Pwned Passwords, k-Anonymität) und der E-Mail-Domain; §3.4/§3.22 — Aufräumen verwaister Bilder und Entfernen von Bildern abgelehnter Rezepte (Gate 20); §3.5 — Bilder fremder Inhalte nur aus unserem eigenen Speicher (Gate 21); §3.14 — Customer Center von RevenueCat; neu §3.23 „Verbindungsdaten und Server-Protokolle“ und §3.24 „Rezepte melden, Autoren blockieren, Moderation“ (Gate 23); §3.1/§3.15 — [PRÜFEN]-Hinweise zu Resend und Sentry; §4/§5 — Pwned Passwords; Verweise auf interne Dateien durch „auf Anfrage“ ersetzt; Gate 16 an den Code-Stand vom 16.10. angepasst, Gate 18–23 neu; Fix-Runde nach Review, gleiche Version 2.22: §3.14a — Einladungs-Adressen bleiben bei Abo-Ende nicht bis zu 30 Tage, sondern laufen wie sonst nach 14 Tagen ab (nur angenommene Plätze bleiben bis zur Schließung), Nachlauf des Nachtlaufs genannt; Gate 22 um das Aufräumen der Export-Dateien (§7) ergänzt; §3.13 — Sitzungskennung nicht mehr als „ohne Personenbezug“ bezeichnet; §3.23 — Ausnahme: Fehlermeldungen von Anmelde-/Maildienst können die Adresse enthalten [PRÜFEN: Code]; §3.24/§2 — Rechtsgrundlage Meldungen lit. f, lit. c nur ggf. [PRÜFEN: Recherche], keine eigene Meldungsansicht in der App) · Vorher: Version 2.21, Stand: 2026-10-15 (ENTWURF: neuer §3.14a „Familien-Abo“ inkl. Information für eingeladene Personen nach Art. 14 DSGVO — Plätze, Einladungs-Mail, Annahme, Austausch, Ende des Abos, Speicherdauer 14/30/90 Tage; §3.14: serverseitiger Abo-Status; §2/§4/§5/§6/§7/§9 angepasst; Maildienst für die Einladungs-Mails noch offen, Platzhalter [MAILDIENST – B3]; Nachtrag gleiche Version nach Review: geschlossener Plan-Datensatz bleibt bestehen, Postausgang bei Korrektur/Austausch, Annahme als eigener Schritt in der App; weiterer Nachtrag gleiche Version (Legal-Sync 2026-10-15): §9 — das Pflicht-Häkchen (Mindestalter, Nutzungsbedingungen) gilt auch vor der Anmeldung mit Google/Apple; §7 — Umfang des Datenexports (Konto-E-Mail, Anmelde-Methoden, von Google/Apple übermittelter Name; kein Passwort/Token; weitere Anmelde-Angaben derzeit nicht enthalten); Gate 16/17; Fix-Runde nach Review (gleicher Tag, gleiche Version): §7 Wortlaut zum Namen und zu den nicht enthaltenen Anmelde-Angaben präzisiert, Gate 16 um offene Rechtsfrage und Code-To-do ergänzt, Gate 17 mit wörtlichen Anfangs-/Endzitaten) · Vorher: Version 2.20, Stand: 2026-10-15 (§2/§3.6/§3.8/§3.22/§4/§6: das Bild zu einem KI-Rezept aus Scan oder Zutatenliste erzeugt in der Regel unser Server; ein KI-Rezept wird nur noch zusammen mit diesem eigens erzeugten Bild veröffentlicht, der Prüfschritt sieht auch die Bildbeschreibung, und auf dem Server gespeichert wird nur das Bild eines veröffentlichten Rezepts; §3.22: Hinweis auf die Server-Protokolle unseres Hosters) · Vorher: Version 2.19, Stand: 2026-10-14 (§3.22: der Prüfschritt vor der Veröffentlichung prüft zusätzlich, ob das Rezept ein stimmiges, sinnvoll zubereitbares Gericht ergibt) · Vorher: Version 2.18, Stand: 2026-10-14 (§3.6: die von der KI erzeugten Rezepte liegen lokal im „Verlauf“ — privat, nur auf dem Gerät, höchstens die neuesten 60) · Vorher: Version 2.17, Stand: 2026-10-14 (§3.13: kurzlebiger lokaler Merker „Kontolöschung noch nicht abgeschlossen“ (enthält bis zum Abschluss der Abmeldung die technische Kennung des gelöschten Kontos, sonst nichts); §3.20: Neuinstallation entfernt unter iOS die Anmeldung, die zuletzt verwendeten Angaben und die im Verzeichnis der App geführten Angaben abgemeldeter Konten (verschlüsseltes Verzeichnis, nur Kennungen, kein Inhalt); Aufbewahrung nach einer Löschung auf einem anderen Gerät beschrieben) · Vorher: Version 2.16, Stand: 2026-10-13 (§3.13: lokaler Merker „App auf dem Gerät schon gestartet“ (nur Ja/Nein, ohne Kennung) — entfernt beim ersten Start nach einer Neuinstallation die Anmeldung und die zuletzt verwendeten verschlüsselten Angaben aus dem iOS-Schlüsselbund; §3.20: der Löschzeitpunkt „Deinstallation“ für iPhones genauer beschrieben) · Vorher: Version 2.15, Stand: 2026-10-02 (neuer §3.7a: Rezeptwünsche und in der Familie geteilte importierte Rezepte — Kopie des Rezepttextes ohne Bild serverseitig, nur für Mitglieder der eigenen Familiengruppe; §2-Tabelle, §3.5, §3.7, §4, §6, §7 angepasst: importierte Rezepte liegen nicht mehr ausnahmslos nur auf dem Gerät; Korrektur nach Review, gleiche unveröffentlichte Version: §3.7a ergänzt, dass der Titel eines gespeicherten geteilten Rezepts im KI-Chat-Kontext an den KI-Dienstleister gehen kann, Löschfall „Import auf dem Gerät gelöscht" und Anzeige der Quellen-Domain; §2, §3.5, §6 entsprechend; ebenfalls noch in dieser Version: §3.7 + §2-Tabelle + §3.7a — höchstens 10 Mitglieder je Familiengruppe, Migration 28) · Vorher: Version 2.14, Stand: 2026-10-02 (App-Name „Gusti" und Kontaktadresse support@gusti.biz eingetragen; §3.13: lokaler Merker „Konto auf dem Gerät bekannt") · Vorher: Version 2.13, Stand: 2026-10-02 (Zusammenführung mit UX-Paket 2: §3.22 „Kennzeichnung" an die Autor-Umstellung angeglichen — is_ai_generated wird bei der anonymen KI-Veröffentlichung bewusst false gesetzt wie im Katalog, maschinenlesbar bleibt is_system_author; das separate KI-Symbol auf Feed-/ Detailkarte entfällt, der sichtbare Autorenname „KI generiert" genügt — diese Änderung lag als „Version 2.7" auf einem Parallelzweig und wird hiermit übernommen) · Vorher: Version 2.12, Stand: 2026-10-01 (Korrektur nach Review: §3.2 Apple präzisiert — Abbruch/Fehler beim Löschen, Name für Familie sichtbar, Rechtsgrundlage der Trennung; §4 Rolle „eigenständig verantwortlich" und Transfer-Garantie bei Apple SCC statt DPF; §3.14 RevenueCat vor der Anmeldung; §8) · Vorher: Version 2.11, Stand: 2026-10-01 (§3.2: Anmeldung mit Apple inkl. Trennung bei Kontolöschung; §2, §4, §7, §8 ergänzt; §3.14 korrigiert: RevenueCat erhält deine Konto-Kennung, keine anonyme Kennung) · Vorher: Version 2.10, Stand: 2026-09-30 (§3.8: KI-Chatverlauf nur auf dem Gerät, verschlüsselt, nur die neuesten Nachrichten) · Vorher: Version 2.9, Stand: 2026-09-29 (§3.3 + §5: hCaptcha auch beim Zurücksetzen des Passworts) · Vorher: Version 2.8, Stand: 2026-09-28 (§3.7: Familiengruppe — nur der Admin verwaltet Beitrittscodes/-links und entfernt Mitglieder; Owner-Übergabe an das am längsten beteiligte Mitglied bzw. Auflösung der Familie beim Austritt des letzten Mitglieds; ein Konto ist höchstens in einer Familie Mitglied) · Vorher: Version 2.7, Stand: 2026-09-28 (§3.4: Profilbild ist über eine feste Adresse öffentlich abrufbar, Löschen entfernt es sofort; §3.17 + §2-Tabelle + §5 Empfänger + §6: Push-Benachrichtigungen „derzeit nicht aktiv") · Vorher: Version 2.6, Stand: 2026-09-27 (Korrektur Runde 1: Selbstwiderspruch §3.5/§2-Tabelle/§7 aufgelöst — „Rezept unter eigenem Namen veröffentlichen" existiert im Client-Code nicht, daher serverseitig nichts zu löschen/ anonymisieren; Korrektur Endprüfung 27.09.2026: §3.22 Filter-/ Rückverfolgbarkeits-Aussagen an Code angeglichen) · Davor: Version 2.5, Stand: 2026-09-27 (§3.5/§3.6/§3.7 auf „lokal" korrigiert, neuer §3.22 „Anonyme Veröffentlichung KI-generierter Rezepte")

Diese Erklärung beschreibt, welche personenbezogenen Daten wir in der App Gusti verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Maßgeblich ist der tatsächliche Funktionsumfang der App.

1. Verantwortlicher

LENO Innovations Ltd
Innovation One, Level 3, Office IH-00-01-03-OF-05, Dubai International Financial Centre (DIFC), Dubai, Vereinigte Arabische Emirate
Registriert: DIFC Registrar of Companies, Government of Dubai, Lizenz CL13839
Vertreten durch: Oliver Da Silveira (Authorised Signatory)
E-Mail: support@gusti.biz
Allgemeiner Kontakt: support@gusti.biz
Website: https://gusti.biz

Vertreter in der Europäischen Union (Art. 27 DSGVO):

[NAME UND ANSCHRIFT DES EU-VERTRETERS — VOR VERÖFFENTLICHUNG BESTELLEN]
E-Mail: [E-MAIL DES EU-VERTRETERS]

Du kannst dich in allen Datenschutzfragen sowohl an uns als auch an unseren EU-Vertreter wenden.

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Für unsere KI-Funktionen (Abschnitte 3.8 und 3.22) ist nach unserer Einschätzung wahrscheinlich eine Datenschutz-Folgenabschätzung nötig (Art. 35 DSGVO); dann wäre nach § 38 Abs. 1 Satz 2 BDSG ein Datenschutzbeauftragter zu benennen. Folgenabschätzung und Benennung stehen noch aus [UNSICHER: Recherche A25, U12]. Den Kontakt tragen wir hier ein, sobald er feststeht: [DSB — NAME UND KONTAKT, FALLS BENANNT]. Datenschutzanfragen richtest du an support@gusti.biz.

2. Überblick über alle Verarbeitungen

Zweck	Datenkategorien	Rechtsgrundlage	Speicherdauer
Konto & Anmeldung	E-Mail, Passwort-Hash, Bestätigungsstatus, ggf. Google- oder Apple-Identität	Art. 6 I b	bis Kontolöschung
System-E-Mails (Bestätigung, Passwort)	E-Mail-Adresse, Bestätigungslink	Art. 6 I b	Versandvorgang
Anmelde- und Beitrittssicherheit (Missbrauchsabwehr)	gehashte E-Mail, IP-Adresse und Nutzer-ID (HMAC), Zeitstempel, Zähler	Art. 6 I f	max. 24 Stunden
Prüfung bei der Registrierung (3.3): bekannt gewordene Passwörter, Wegwerf-Adressen, Mail-Domain	die ersten 5 Zeichen eines Hashes deines Passworts (nie das Passwort); nur die Domain deiner E-Mail-Adresse	Art. 6 I f	keine Speicherung des Ergebnisses; Zähler wie oben
Verbindungsdaten und Server-Protokolle (3.23)	IP-Adresse, Zeitpunkt, aufgerufene Funktion, Gerätetyp/App-Angaben, Statuscode — bei jedem Aufruf unserer Server und beim Laden von Bildern	Art. 6 I f	beim Hoster nach dessen Protokoll-Aufbewahrung (Tage, [PRÜFEN: Dashboard]); wir werten sie nicht aus
Bot-Abwehr (hCaptcha) bei Registrierung, Anmeldung, Passwort-Reset und Platz-Austausch im Familien-Abo	IP, Geräte-/Interaktionssignale	Art. 6 I f; § 25 II Nr. 2 TDDDG	Verarbeitung beim Anbieter
Profil (geräteübergreifend)	Anzeigename, Profilbild, Ernährungsstile (Mehrfachauswahl), Vorlieben/Abneigungen	Art. 6 I b	bis Kontolöschung
Einstiegs-Angaben: Nutzungsgrund & „Wie hast du uns gefunden?"	ausgewählte Gründe, ausgewählter Kanal, freiwillige Freitext-Ergänzung	Art. 6 I f (Widerspruch möglich)	bis Kontolöschung/Widerspruch
Nur auf dem Gerät: biologisches Geschlecht, Geburtsdatum	Angaben aus dem Einstieg — keine Übertragung an Server oder KI	Art. 6 I b (Portionsanzeige) i. V. m. § 25 II Nr. 2 TDDDG; Prüfung des Mindestalters 18 (Abschnitt 9)	lokal bis App-/Kontolöschung
Erinnerung an das Ende der Testphase (lokale Mitteilung)	Endzeitpunkt der Testphase — nur auf dem Gerät geplant, kein Push-Server	Art. 6 I b	bis zur Zustellung/Abschaltung
Allergien/Unverträglichkeiten	Gesundheitsdaten (Art. 9) — serverseitig gespeichert	Art. 9 II a (ausdrückliche Einwilligung)	bis Widerruf (dann unverzügliche Löschung) bzw. Kontolöschung
Rezepte (eigene, gemerkte, importierte) — ohne Cloud-Bibliothek nur auf deinem Gerät; einzige Ausnahme: ein importiertes Rezept, das du in deiner Familie wünschst (3.7a)	Inhalte, Bilder	Art. 6 I b	lokal bis Löschung/App-Löschung
Cloud-Bibliothek — nur mit deiner Einwilligung (3.5): eigene Rezepte mit Fotos, importierte Rezepte (nur Text), gemerkte Rezepte, KI-Verlauf (3.22)	Rezeptinhalt (Titel, Beschreibung, Zutaten, Schritte, Nährwerte, Schlagwörter, bei Importen der Quellen-Link), eigene Fotos, Kontokennung, Löschmarken, ein Zähler der Bibliothek, ein technisches Protokoll deiner letzten Aktionen — Rezepte können Rückschlüsse auf Ernährung oder Gesundheit zulassen	Art. 6 I a, b; Art. 9 II a (ausdrückliche Einwilligung, vorsorglich)	bis zum Widerruf (dann löschen wir die Bibliothek auf dem Server) bzw. bis zur Kontolöschung; Löschmarken 90 Tage; Aktionsprotokoll 7 Tage; nach einem Widerruf bleibt das Aktionsprotokoll noch bis zu 7 Tage und der Zähler der Bibliothek bis zur Kontolöschung; KI-Verlauf höchstens 60 Einträge
Veröffentlichte eigene Rezepte (3.5) — nur, wenn du ein eigenes Rezept selbst veröffentlichst	Rezept und Foto (öffentlich), dein Anzeigename, Zuordnung zu deinem Konto, Veröffentlichungs-Erklärung (Version, Zeitpunkt), Prüfergebnis; nach einer Ablehnung eine Sperre aus Fingerabdrücken (Hashes) ohne Klartext	Art. 6 I b (Veröffentlichung, die du auslöst); Moderation: Art. 6 I c, f	bis du das Rezept zurückziehst oder löschst; bei Kontolöschung nach deiner Wahl ohne deinen Namen und ohne Verbindung zu deinem Konto behalten (Standard) oder mitgelöscht; Hash-Sperren ohne Personenbezug unbefristet; Prüfpflicht für dein Konto wirkt 90 Tage nach einer Ablehnung, der Vermerk bleibt bis zur Kontolöschung
Community-Rezepte anzeigen	öffentliche Rezeptdaten	Art. 6 I b	— (Anzeige)
Kühlschrank-Scan	Foto (vorübergehend), erkannte Zutatenliste	Art. 6 I b	Foto: sofortige Löschung; Zutatenliste: nur auf deinem Gerät, bis du sie löschst
KI-Rezepte aus Scan/Zutatenliste und ihre Bilder (3.6)	Rezepte und Bilder auf deinem Gerät („Verlauf“); das Bild erzeugt in der Regel unser Server, gespeichert wird es dort nur bei Veröffentlichung (nächste Zeilen). Nur mit Einwilligung in die Cloud-Bibliothek legt der Server das Rezept (ohne Bild) zusätzlich privat in deinem Konto an und verknüpft es mit deinem Konto (3.22)	Art. 6 I b; mit Einwilligung zusätzlich Art. 6 I a, Art. 9 II a (vorsorglich)	lokal: höchstens die neuesten 60, bis Löschung/Konto-/App-Löschung; Server ohne Einwilligung: keine Speicherung; mit Einwilligung: höchstens 60 Verknüpfungen (ältere werden entknüpft, private Rezepte dann gelöscht)
Einkaufsliste und Vorrat (privat, nur auf deinem Gerät)	Einträge, Menge/Einheit, Status	Art. 6 I b	auf dem Gerät bis Löschung des Eintrags/der App/des Kontos
Familien-Einkaufsliste und Familien-Vorrat (serverseitig, für alle Mitglieder sichtbar)	Bezeichnung, Menge/Einheit, Kategorie, Erledigt-Status, Kennung des anlegenden Mitglieds	Art. 6 I b	bis Löschen des Eintrags bzw. der Familie; bei Kontolöschung anonymisiert
Familiengruppe (serverseitig, höchstens 10 Mitglieder)	Gruppenname, Mitglieder (Anzeigename, ggf. Allergien/Abneigungen), zeitlich begrenzter Beitrittscode (3 Stunden, höchstens 10 Beitritte) bzw. Einladungslink (14 Tage, höchstens 25 Beitritte)	Art. 6 I b; Allergien: Art. 9 II a	bis Austritt/Kontolöschung
Rezeptwünsche und in der Familie geteilte importierte Rezepte (serverseitig, nur für Mitglieder deiner Familiengruppe — höchstens 10 — sichtbar, nie öffentlich)	Wunsch: Titel, Kennung des wünschenden Mitglieds, Status, Zeitpunkt; geteiltes Rezept: Kopie des Rezepttextes (Titel, Beschreibung, Zutaten mit Mengen, Zubereitungsschritte, Portionen, Dauer, Schwierigkeit, Kategorie, Schlagwörter, Nährwerte), Quellen-Link, Kennung des teilenden Mitglieds — kein Bild	Art. 6 I b	Wunsch: bis ein Mitglied ihn entfernt, die Familie aufgelöst oder das Konto gelöscht wird; geteiltes Rezept zusätzlich bis zum Austritt/zur Entfernung des teilenden Mitglieds oder bis es den Import auf seinem Gerät löscht (3.7a)
KI-Assistent	Chat-Nachrichten, übermittelter Kontext	Art. 6 I b	lokal; beim Anbieter max. 30 Tage (kein Training)
„Schon gesehen" (kein Doppel im Feed)	Rezept-IDs, Kalendertag	Art. 6 I f	bis Kontolöschung / Widerspruch
Personalisierung (nur mit Einwilligung)	angesehene Rezepte, Verweildauer-Stufe, Minute	Art. 6 I a; § 25 I TDDDG	max. 12 Monate
Likes	Nutzer-ID + Rezept-ID	Art. 6 I b	bis Entfernen/Kontolöschung
Trending (Tagesranking)	aggregierte Like-Zahlen ohne Personenbezug	Art. 6 I f	1 Tag
Veröffentlichung KI-generierter Rezepte (3.22)	Rezeptinhalt (Titel, Zutaten, Schritte, Nährwerte) und das eigens dafür erzeugte Bild; im veröffentlichten Rezept ohne Kontobezug, mit Einwilligung in die Cloud-Bibliothek besteht serverseitig daneben die Verknüpfung mit deinem Konto	Art. 6 I f i. V. m. Art. 6 IV; für die Verknüpfung Art. 6 I a, Art. 9 II a	dauerhaft, bis wir ein Rezept ablehnen oder entfernen bzw. du es aus Entdecken zurückziehst; ohne Verknüpfung nicht mehr zuordenbar (Einschränkung in 3.22: Server-Protokolle des Hosters); Drossel-Zähler ≤ 24 Stunden
Rezepte melden, Autoren blockieren, Moderation (3.24)	Meldung: Kennung des Rezepts, deine Konto-Kennung, Grund, optional deine Begründung (bis 1.000 Zeichen), Status, Zeitpunkt; Blockierung: deine und die blockierte Konto-Kennung, Zeitpunkt; Moderation: Prüfergebnis, Entscheidung mit Begründung, Sperren (Fingerabdrücke ohne Klartext), Prüfpflicht	Meldungen: Art. 6 I f, zusätzlich I c i. V. m. Art. 16 DSA (3.24); Blockieren: Art. 6 I b	Meldung bis zur Kontolöschung bzw. Löschung des Rezepts ([PRÜFEN: feste Frist für erledigte Meldungen]); Blockierung bis zur Aufhebung bzw. Kontolöschung; Hash-Sperren ohne Personenbezug unbefristet; Prüfpflicht 90 Tage
Lokale Einstellungen (Sprache, Design)	nur lokal auf dem Gerät, ohne Kennung	§ 25 II TDDDG	lokal bis App-Löschung
Abo & Kaufabwicklung	Abo-Status, Kaufbeleg/Token, App-Nutzer-ID, Gerätetyp	Art. 6 I b	solange Abo/Konto besteht
Serverseitiger Abo-Status (3.14)	Konto-Kennung, Art des Abos (Einzel/Familie), aktiv ja/nein, Ablaufzeitpunkt, Kaufreferenz von RevenueCat, Zeitpunkt der Bestätigung	Art. 6 I b	bis Kontolöschung; Abfrage-Ergebnisse gelten nur wenige Minuten
Familien-Abo: Plätze, Einladungen, Annahme, Austausch (3.14a) — Zahler	Konto-Kennung, Plan-Status, bis zu 4 eingetragene E-Mail-Adressen eingeladener Personen mit Platzstatus, Zähler	Art. 6 I b	Plan: wird 30 Tage nach Ablauf des Abos bzw. bei Kontolöschung des Zahlers geschlossen (Plätze und Adressen dann leer); der geschlossene Plan-Datensatz wird 30 Tage nach der Schließung endgültig gelöscht (3.14a); Adressen: höchstens 14 Tage, nach Annahme sofort gelöscht
Familien-Abo — eingeladene Person (3.14a, Information nach Art. 14)	E-Mail-Adresse (vom Zahler angegeben), Einladungs-Link (nur als Hash gespeichert), Ablaufzeit, Versandstatus	Art. 6 I f	höchstens 14 Tage beim Platz (bis zur Annahme, zum Ablauf oder zur Löschung auf Anfrage); im Postausgang wird die Adresse bei Versand, Korrektur, Austausch, Annahme und Schließung des Plans sofort entfernt, spätestens nach 14 Tagen (3.14a); nach Annahme gilt die Konto-Zeile oben
In-App-Postfach (Systemnachrichten)	Nachrichtentext, Gelesen-Status	Art. 6 I b	bis Löschung/Kontolöschung
Push-Benachrichtigungen	derzeit nicht aktiv — keine Push-Token, keine Übermittlung (3.17)	—	—
Absturz- und Fehlerdiagnose	technische Fehlerberichte (ohne Klarnamen/Gesundheitsdaten)	Art. 6 I f	gem. Sentry-Aufbewahrung (Events ≤ 90 Tage)
Einwilligungsnachweise (3.18)	Zweck, Zeitpunkt, Entscheidung, Textversion	Art. 6 I c / Art. 7 I	bis zum Ende des dritten Kalenderjahres nach dem Jahr des Widerrufs, bei Kontolöschung sofort gelöscht [gilt ab Anwendung von Migration 51 — noch nicht live, Gate 27]

3. Einzelne Verarbeitungen

3.1 Registrierung und Anmeldung

Warum wir das brauchen: Ohne Konto können wir deine Rezepte, Einstellungen, Listen und Familiengruppen nicht dir zuordnen und nicht zwischen deinen Geräten synchronisieren. Wir verarbeiten E-Mail-Adresse, ein verschlüsseltes Passwort (Hash) und den E-Mail-Bestätigungsstatus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Die Anmeldung läuft technisch über unseren Dienstleister Supabase. Für die Nutzung der App sind ein Konto und ein aktives Abonnement erforderlich (siehe AGB); einen Gastmodus bietet die App nicht an.

System-E-Mails: Bestätigungs-, Passwort- und Anmelde-Links versenden wir über unseren Dienstleister Mailjet SAS (Sinch-Gruppe, EU/Frankreich); verarbeitet werden dafür deine E-Mail-Adresse und der jeweilige Bestätigungslink. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. [PRÜFEN: Nach dem Stand der Einstellungen vom 22.09.2026 liefen die Bestätigungs- und Passwort-Mails über den SMTP-Dienst Resend (Einstellung im Anmeldedienst; der Mailjet-Hook war ausgeschaltet), nicht über Mailjet. Den tatsächlichen Versanddienst im Dashboard bestätigen und danach diesen Absatz sowie §4, §5 und das Dienstleister-Verzeichnis anpassen (bei Resend: Sitz, Region, Transfer-Garantie und Auftragsverarbeitungsvertrag ergänzen). ENTSCHEIDUNG NOAH: Resend oder Mailjet für die Anmelde-Mails?]

3.2 Anmeldung mit Google oder Apple

Mit Google: Wenn du „Mit Google fortfahren" wählst, authentifizierst du dich bei Google; wir erhalten die zur Kontoerstellung nötigen Daten (Google-Kennung, E-Mail, ggf. Anzeigename). Empfänger: Google Ireland Ltd. / Google LLC. Drittlandtransfer: USA (Garantien siehe Abschnitt 5). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Mit Apple (nur auf dem iPhone): Wenn du „Mit Apple fortfahren" wählst, bestätigst du deine Identität bei Apple. Wir erhalten eine von Apple vergebene Kennung, deine E-Mail-Adresse — oder, wenn du bei Apple „E-Mail-Adresse verbergen" wählst, eine von Apple erzeugte Weiterleitungsadresse, über die Apple unsere E-Mails an dich weiterleitet — und beim allerersten Anmelden ggf. deinen Namen. Den Namen speichern wir in deinem Konto und übernehmen ihn als Anzeigenamen, sofern du noch keinen eigenen gewählt hast; der Anzeigename ist für Mitglieder deiner Familiengruppe sichtbar (3.7). Für die Anmeldung bei Apple selbst ist Apple eigenständig verantwortlich (für den EWR: Apple Distribution International Ltd., Irland); es gelten Apples Datenschutzhinweise. Bei der Kontolöschung bitten wir dich auf dem iPhone, die Löschung einmal kurz mit Apple zu bestätigen. Mit dem dabei erzeugten Einmal-Code trennen wir bei Apple die Verbindung deines Apple-Accounts zu unserer App: Wir senden den Code, unsere App-Kennung und eine signierte Bestätigung unserer App an Apple und das daraufhin von Apple erhaltene Token sofort zum Widerruf zurück. Zugangsdaten oder Tokens von Apple speichern wir nicht — sie liegen nur für die Dauer dieser einen Anfrage im Arbeitsspeicher unseres Servers. Brichst du die Apple-Bestätigung ab, löschen wir nichts. Schlägt sie fehl oder ist sie nicht möglich (z. B. auf Android-Geräten), kannst du dein Konto trotzdem vollständig löschen; die Verbindung kannst du dann selbst in deinen Apple-Account-Einstellungen unter „Mit Apple anmelden" entfernen. Löschst du dein Konto per E-Mail (Abschnitt 7), können wir die Verbindung bei Apple nicht trennen: Wir löschen die Daten deines Kontos bei uns (bis auf den Löschnachweis, Abschnitt 6), die Verbindung entfernst du zusätzlich selbst (den Weg nennt Abschnitt 7). Widerruf bei Apple auf dem Gerät: Entfernst du die Verbindung später selbst in deinen Apple-Account-Einstellungen unter „Mit Apple anmelden“, bemerkt die App das auf dem iPhone beim Start, beim Zurückkehren in die App und wenn Apple den Widerruf meldet. Dazu fragt sie über eine Funktion von iOS ab, ob die Verbindung noch besteht (übergeben wird die von Apple vergebene Kennung an iOS, nicht an unsere Server). Lautet das Ergebnis „widerrufen“, meldet die App dich auf dem Gerät ab — genau wie bei einem Tipp auf „Abmelden“ — und zeigt dir einen Hinweis. Das geschieht nur bei Sitzungen, die mit Apple begonnen haben (dafür merkt sich die App technisch die Kennung der Sitzung, siehe 3.13); wer sich mit E-Mail und Passwort oder Google anmeldet, ist nicht betroffen. Dein Konto und deine Daten bleiben dabei bestehen; zur Löschung siehe Abschnitt 7. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Ablage des Merkers auf dem Gerät ist unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Drittlandtransfer: Apple-Server ggf. in den USA (siehe Abschnitt 4 und 5). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anmeldung); Trennung bei der Kontolöschung: Art. 6 Abs. 1 lit. c i. V. m. Art. 17 DSGVO.

3.3 Anmeldesicherheit / Missbrauchsabwehr

Zur Abwehr von Brute-Force- und automatisierten Angriffen zählen wir fehlgeschlagene Anmeldeversuche. Dabei wird E-Mail bzw. IP vor der Speicherung mit einem geheimen Schlüssel gehasht (HMAC) — wir speichern also keine Klartext-E-Mail/IP, sondern nur einen nicht zurückrechenbaren Wert plus Zeitstempel. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit; die Interessenabwägung stellen wir dir auf Anfrage unter support@gusti.biz zur Verfügung). Speicherdauer: max. 24 Stunden.

Zusätzlich setzen wir bei Registrierung, Anmeldung, beim Zurücksetzen des Passworts und beim Austausch eines Platzes im Familien-Abo (3.14a) hCaptcha (Intuition Machines, Inc.) ein, um Bots und automatisierte Angriffe abzuwehren. Dabei werden Geräte- und Interaktionssignale (z. B. IP-Adresse, Browser-/Gerätemerkmale und Nutzungsverhalten) an hCaptcha übermittelt und dort ausgewertet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Missbrauch und Bots); der Zugriff auf Geräteinformationen ist für diesen von dir angeforderten, sicherheitsrelevanten Anmeldevorgang unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Dabei findet eine Übermittlung in die USA statt (siehe Abschnitt 5). Einzelheiten zu unseren Dienstleistern: Abschnitt 4.

Dasselbe Verfahren schützt den Beitritt zu Familiengruppen: Beitrittsversuche werden je Nutzerkonto (alle Versuche, höchstens 10 je 15 Minuten) und je IP-Adresse (nur fehlgeschlagene Versuche, höchstens 60 je 15 Minuten) gezählt — wieder ausschließlich als HMAC-Hash gespeichert — und bei Überschreitung vorübergehend (etwa 15 Minuten) gesperrt. So kann niemand Beitrittscodes durchprobieren, um Zugriff auf die Allergie-Angaben einer fremden Familie zu erlangen. Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO, Abwägung wie oben) und Speicherdauer (Zähler werden nach 24 Stunden automatisch gelöscht) wie oben.

Prüfung auf bekannt gewordene Passwörter: Bei der Registrierung prüfen wir, ob dein gewähltes Passwort in bekannten Datenlecks vorkommt. Dazu bilden wir auf unserem Server einen Hash (SHA-1) des Passworts und senden nur dessen ersten fünf Zeichen an den Dienst „Pwned Passwords“ von Have I Been Pwned (haveibeenpwned.com, betrieben von Troy Hunt; ausgeliefert über Cloudflare). Der Dienst antwortet mit einer Liste möglicher Treffer, die wir bei uns mit dem Rest des Hashes vergleichen (sogenannte k-Anonymität). Das Passwort selbst und der vollständige Hash verlassen unseren Server nicht, und der Abruf kommt von unserem Server — deine IP-Adresse geht nicht an den Dienst. Ist der Dienst nicht erreichbar, läuft die Registrierung trotzdem weiter. Unser Anmeldedienst (Supabase) gleicht Passwörter außerdem bei jeder Passwortvergabe nach demselben Prinzip ab (Einstellung „Leaked Password Protection“; am 22.09.2026 im Dashboard aktiviert und per Abfrage bestätigt [PRÜFEN: Stand vor dem Release erneut belegen]). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz deines Kontos vor Übernahme). Die Liste stammt von Pwned Passwords (Have I Been Pwned, Troy Hunt) und steht unter der Lizenz CC BY 4.0.

Prüfung der E-Mail-Adresse bei der Registrierung: Unsere Registrierungs-Funktion prüft, ob die Adresse zu einem bekannten Wegwerf-Dienst gehört (feste Liste und Muster) und ob die Domain der Adresse überhaupt E-Mails annehmen kann. Dafür wird in der Server-Umgebung der Mail-Eintrag der Domain abgefragt (z. B. „beispiel.de“) — der Teil vor dem @ wird dabei nicht übermittelt. Das Ergebnis wird nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr und eine zustellbare Adresse für den Bestätigungslink).

3.4 Profil (geräteübergreifend)

Anzeigename und Profilbild dienen der Darstellung in der App und auf deinen Rezeptkarten. Damit dein Profil auf allen deinen Geräten gleich ist, werden Anzeigename, Profilbild und deine Ernährungseinstellungen (Ernährungsstile — du kannst mehrere gleichzeitig auswählen, Lieblingsküchen, Abneigungen) serverseitig bei unserem Dienstleister Supabase gespeichert und mit deinem Konto synchronisiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für Allergien/Unverträglichkeiten gilt Abschnitt 3.11 (nur mit ausdrücklicher Einwilligung). Bei Kontolöschung werden diese Daten einschließlich eines serverseitig gespeicherten Profilbilds gelöscht.

Profilbild: Lädst du ein Profilbild hoch, verkleinern wir es auf höchstens 512 Pixel Breite und speichern es als JPEG bei Supabase. Das Bild ist über eine feste Internet-Adresse öffentlich abrufbar — jeder, der diese Adresse kennt, kann es ansehen, auch ohne Konto. Lade daher nur ein Bild hoch, das auch andere sehen dürfen. Entfernst du das Bild in der App, löschen wir es sofort vom Server; spätestens bei der Kontolöschung wird es ebenfalls gelöscht. Bleibt nach einer abgebrochenen Kontolöschung ausnahmsweise ein Profilbild ohne zugehöriges Konto zurück, räumt ein täglicher automatischer Lauf es frühestens einen Tag nach der letzten Änderung der Datei auf. Ein Profilbild ist freiwillig.

Einen Teil dieser Angaben (Anzeigename, Ernährungsstile, Lieblingsküchen) erfragen wir bereits beim Einstieg in die App, also vor der Registrierung. Bis du ein Konto anlegst, liegen sie ausschließlich verschlüsselt auf deinem Gerät; erst mit dem ersten Login werden sie in dein Profil übernommen (Einzelheiten in Abschnitt 3.19). Für die dabei zusätzlich erfragten Angaben „biologisches Geschlecht" und „Geburtsdatum" gilt Abschnitt 3.20 — sie verlassen dein Gerät nicht.

3.5 Rezepte (eigene, gemerkte, importierte), Cloud-Bibliothek und Community

Ohne deine Einwilligung bleiben deine Rezepte, deine Merkliste und dein KI-Verlauf auf deinem Gerät. Deine eigenen, gemerkten und importierten Rezepte liegen dann lokal auf deinem Gerät — ein Abgleich zwischen deinen Geräten findet nicht statt, und sie gehen mit dem Gerät oder der App verloren. Die App funktioniert so unverändert weiter. Zwei Ausnahmen: Wünschst du ein importiertes Rezept in deiner Familiengruppe, speichern wir eine Kopie seines Rezepttextes (ohne Bild) serverseitig, damit die Mitglieder deiner Familie es sehen können (Abschnitt 3.7a). Und KI-Rezepte, die unser System aus deinem Scan oder deiner Zutatenliste erzeugt, veröffentlicht unser Server nach einer automatischen Prüfung ohne deinen Namen und ohne Verbindung zu deinem Konto — auch ohne diese Einwilligung (Abschnitt 3.22). Beim Import aus einer URL (z. B. Koch-Website, YouTube, TikTok, Instagram) ruft die App die von dir angegebene Adresse ab; der dort gefundene Inhalt wird zur Strukturierung an unseren KI-Dienstleister übermittelt (siehe 3.8). Importierte Rezepte können nicht mit der Community geteilt oder veröffentlicht werden und erscheinen nie im Entdecken-Feed, in der Community-Suche oder in einem öffentlichen Profil; sichtbar machen kannst du sie nur innerhalb deiner eigenen Familiengruppe (3.7a). Für importierte Inhalte bist du verantwortlich (siehe AGB und IP-Policy). Community-Rezepte werden dir lesend angezeigt.

Cloud-Bibliothek (nur mit deiner ausdrücklichen Einwilligung). Stimmst du in der App zu („Rezepte in der Cloud speichern“), speichern wir deine Rezepte in deinem Konto auf unserem Server, damit sie eine Neuinstallation, einen Gerätewechsel und ein erneutes Anmelden überstehen. Das betrifft

• deine eigenen Rezepte mit ihren Fotos,
• importierte Rezepte — nur der Text, nie ein Bild,
• deine gemerkten Rezepte (Lesezeichen) und
• deinen KI-Verlauf: höchstens die neuesten 60 KI-Rezepte, die mit deinem Konto verknüpft werden (Abschnitt 3.22).

Gespeichert wird, was du eingegeben hast: Titel, Beschreibung, Zutaten, Schritte, Nährwerte, Schlagwörter und — bei Importen — der Link zur Quelle. Dazu kommen technische Angaben: Kennung, Zeitpunkte, ein Änderungszähler, Löschmarken (die Kennungen gelöschter Rezepte, damit ein anderes Gerät sie nicht wieder anlegt), ein Zähler, der bei jedem Widerruf steigt (damit alte Geräte keine Reste zurückspielen), und ein Protokoll deiner letzten Aktionen (Kennung und Ergebnis, nie Inhalte). Es gibt Obergrenzen: höchstens 500 Rezepte, 2.000 gemerkte Rezepte und 2.000 Löschmarken je Konto.

Gesundheitsbezug. Rezepte, Titel, Notizen und KI-Rezepte können Rückschlüsse auf Allergien, Unverträglichkeiten oder Ernährungsweisen zulassen und damit Gesundheitsdaten sein (Art. 9 DSGVO; nach der Rechtsprechung des EuGH genügt es, dass sich Informationen zur Gesundheit indirekt ableiten lassen — Urteile C-184/20 und C-21/23). Weil wir das nicht ausschließen können, holen wir vorsorglich deine ausdrückliche Einwilligung ein (Art. 9 Abs. 2 lit. a DSGVO) [UNSICHER: kein Urteil zu Rezepten, Recherche A25, U1]. Das gilt auch für gemerkte Rezepte: Anders als ein Like (3.12) sagt eine Sammlung gemerkter Rezepte mehr über dich aus.

Freiwillig. Die Einwilligung ist freiwillig. Ohne sie bleiben deine Rezepte, deine Merkliste und dein KI-Verlauf nur auf diesem Gerät, wie bisher; die App funktioniert weiter. Die Veröffentlichung von KI-Rezepten (3.22) hängt nicht von dieser Einwilligung ab. Schaltest du die Cloud-Bibliothek ein, übernehmen wir die vorhandenen Rezepte dieses Geräts in dein Konto (die App nennt dir vorher die Zahl). Von da an gehen neue Rezepte, Änderungen, Löschen und Merken nur mit Internetverbindung: Die App übernimmt erst die Antwort unseres Servers. Ohne Verbindung kannst du deine Rezepte lesen, aber nicht ändern.

Widerruf. Du kannst die Einwilligung jederzeit widerrufen (Einstellungen → Datenschutz & Daten), mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Dann löschen wir auf dem Server deine Bibliothek, deine Merkliste und die Verknüpfung deines KI-Verlaufs; die Kopie auf deinem Gerät bleibt als lokale Daten bestehen. Bereits veröffentlichte eigene Rezepte bleiben veröffentlicht, bis du sie zurückziehst (siehe unten). Private KI-Rezepte werden mit der Verknüpfung gelöscht; anonym veröffentlichte bleiben ohne Verbindung zu deinem Konto bestehen (3.22). Zwei technische Reste löschen wir nicht sofort: Das Protokoll deiner letzten Aktionen überdauert den Widerruf bis zu 7 Tage und wird dann bei der täglichen Bereinigung gelöscht (es verhindert, dass eine nach einem Verbindungsabbruch wiederholte Anfrage doppelt ausgeführt wird); der Zähler der Bibliothek (eine Zahl je Konto, ohne Rezeptinhalt) bleibt bis zur Kontolöschung (damit alte Geräte keine Reste zurückspielen).

Fotos. Ein eigenes Foto verkleinern wir auf höchstens 1.600 Pixel und speichern es neu als JPEG; dabei entfallen Metadaten wie der Aufnahmeort. Es liegt in einem privaten Bereich unseres Speichers, der für andere Nutzer nicht abrufbar ist. Importierte Rezepte haben auf dem Server nie ein Bild. Fotos, die zu keinem Rezept mehr gehören, räumt ein automatischer Lauf frühestens nach 24 Stunden auf (Art. 5 Abs. 1 lit. e DSGVO).

Eigene Rezepte veröffentlichen — nur auf deine Aktion. Eigene Rezepte (nie importierte) veröffentlichen wir nie automatisch. Du kannst sie selbst veröffentlichen, wenn die Cloud-Bibliothek eingeschaltet ist und du online bist. Dafür gilt:

• Eigener Schritt, eigene Erklärung: Du bestätigst, dass du das Rezept selbst verfasst und selbst fotografiert hast, und wie wir es nutzen dürfen (AGB Ziffer 9.2). Wir speichern die Version der Erklärung mit dem Zeitpunkt.
• Eigenes Foto und automatische Prüfung: Es braucht dein eigenes Foto. Text und Foto durchlaufen vorher eine automatische, KI-gestützte Prüfung (Text: OpenAI; Foto sowie der Abgleich von Foto, Titel und bis zu acht Zutatennamen: Google — Abschnitt 3.8). Sie gibt nur feste Prüfkategorien zurück. Rezepte mit Angaben über Personen (z. B. Namen, Familien- oder Gesundheitsangaben), Fotos mit Personen, Schrift oder Adressen und andere Verstöße gegen die AGB lehnt die Prüfung ab; ein fester Filter erkennt außerdem Links, Telefonnummern, E-Mail-Adressen und Hashtags. Je Konto sind höchstens 10 Veröffentlichungen oder Änderungen am Tag möglich; der Zähler wird wie in 3.3 nur als Hash gespeichert.
• Sichtbarkeit: Veröffentlicht wird unter deinem Anzeigenamen (und deinem Profilbild, falls du eines hast) — für alle Nutzer der App sichtbar.
• Prüfung durch uns: Ein Konto mit Prüfpflicht (90 Tage nach einer Ablehnung) sowie ein Rezept, das schon abgelehnt wurde oder gemeldet ist, wird erst sichtbar, wenn wir es freigeben.
• Verschieben statt Kopieren: Solange ein Rezept veröffentlicht ist, liegt es nur in der öffentlichen Fassung vor; deine Bibliothek enthält dann nur einen Verweis. Änderungen an einem veröffentlichten Rezept gehen erneut durch die Prüfung; besteht die Änderung sie nicht, bleibt die vorige geprüfte Fassung unverändert öffentlich.
• Zurückziehen: Du kannst ein Rezept jederzeit zurückziehen. Es wandert zurück in deine private Bibliothek; die öffentliche Fassung und das öffentliche Foto werden entfernt. Likes und Lesezeichen anderer Nutzer gehen damit verloren.
• Ablehnung durch uns: Lehnen wir ein veröffentlichtes Rezept ab (z. B. nach einer Meldung, 3.24), liegt es wieder privat in deiner Bibliothek, und wir nennen dir den Grund. Gibt es keine Bibliothek mehr (Widerruf, gelöschtes Konto), löschen wir es.
• Fotos: Dein privates Foto bleibt während der Veröffentlichung als nicht öffentliche Sicherung in deiner Bibliothek, damit du es bei Zurückziehen oder Ablehnung nicht verlierst. Das öffentliche Foto ist eine eigene Datei mit zufälligem Namen, ohne Kontokennung im Namen und ohne Metadaten. Entfernen wir ein Rezept, löscht ein automatischer Auftrag die öffentliche Datei in der Regel binnen zehn Minuten.

Was wir bei einer Veröffentlichung zusätzlich speichern: die Veröffentlichungs-Erklärung (Version, Zeitpunkt), die Zuordnung deines Kontos zum veröffentlichten Rezept (zwei Kennungen; nicht öffentlich; sie bleibt auch nach einem Widerruf der Einwilligung bestehen, damit du das Rezept weiter zurückziehen kannst, und verschwindet mit dem Rezept oder deinem Konto), Fingerabdrücke (Hashes) des geprüften Textes und Fotos sowie — nach einer Ablehnung — eine Sperre und die Prüfpflicht für dein Konto.

Sperren und Prüfpflicht. Lehnen wir ein Rezept ab oder wird es nach einer Meldung entfernt, speichern wir eine Sperre aus Fingerabdrücken (Hashes) von Text und Foto, damit derselbe Inhalt nicht unter einer neuen Kennung sofort wieder erscheint. Ein Hash enthält keinen Klartext. Die Sperre ist zunächst deinem Konto zugeordnet; bei einer Kontolöschung lösen wir diese Zuordnung und behalten nur den Hash — unbefristet, weil wir ihn zur Abwehr von Missbrauch und zur Verteidigung gegen Ansprüche brauchen (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO) [UNSICHER: ob ein Hash ohne Kontobezug personenbezogen ist und ob „unbefristet“ trägt — Recherche A25, U8]. Nach einer Ablehnung prüfen wir die Veröffentlichungen deines Kontos 90 Tage lang zuerst selbst (Prüfpflicht). Die Prüfpflicht wirkt 90 Tage; der Vermerk darüber bleibt bis zur Kontolöschung gespeichert.

Kontolöschung. Löschst du dein Konto, löschen wir alles Private — Bibliothek, Merkliste, Löschmarken, private Fotos und die Verknüpfung deines KI-Verlaufs. Veröffentlichte eigene Rezepte behalten wir nach deiner Wahl ohne deinen Namen und ohne Verbindung zu deinem Konto (Standard) oder löschen sie mit. Löschst du dein Konto ohne App per E-Mail (Abschnitt 7), gilt derselbe Standard; sollen deine veröffentlichten Rezepte mitgelöscht werden, schreib das in die E-Mail. Wir nennen das bewusst nicht „anonym“: Wer das Rezept mit deinem Namen gesehen hat, kann es weiter dir zuordnen [UNSICHER: ob das Entkoppeln eine Löschung im Sinne von Art. 17 DSGVO ist — Recherche A25, U3]. Die Veröffentlichungs- Erklärung und Sperren verlieren dabei den Bezug zu deinem Konto. Das gilt nur für Rezepte, die öffentlich sichtbar und freigegeben sind: Veröffentlichte Rezepte, die gerade auf unsere Prüfung warten oder nach Meldungen ausgeblendet sind, löschen wir dabei immer mit — auch wenn du „behalten“ gewählt hast.

Rechtsgrundlage: Cloud-Bibliothek: Art. 6 Abs. 1 lit. a und b DSGVO; für Inhalte mit möglichem Gesundheitsbezug zusätzlich Art. 9 Abs. 2 lit. a DSGVO (deine ausdrückliche Einwilligung) [UNSICHER: ob lit. b die Speicherung trägt — Recherche A25, U2]. Veröffentlichen eigener Rezepte: Art. 6 Abs. 1 lit. b DSGVO (die Veröffentlichung, die du auslöst). Angaben über dich selbst, die du dabei selbst öffentlich machst, fallen möglicherweise unter Art. 9 Abs. 2 lit. e DSGVO; Angaben über andere Personen lassen wir nicht zu [UNSICHER: Recherche A25, U16]. Moderation, Sperren, Prüfpflicht: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Community und der Rechte Dritter), für Meldungen rechtswidriger Inhalte zusätzlich lit. c i. V. m. Art. 16 DSA (3.24). Empfänger: Supabase als Auftragsverarbeiter (Abschnitt 4); für die Prüfung vor dem Veröffentlichen OpenAI und Google (3.8); veröffentlichte Rezepte sehen alle Nutzer der App. Ein neuer Dienstleister kommt nicht hinzu. Dauer: solange Einwilligung und Konto bestehen; KI-Verlauf höchstens 60 Einträge; Löschmarken 90 Tage; Aktionsprotokoll 7 Tage; nach einem Widerruf bleibt das Aktionsprotokoll noch bis zu 7 Tage und der Zähler der Bibliothek bis zur Kontolöschung; Sicherungskopien des Hosters laufen aus [PRÜFEN: Dauer im Supabase-Dashboard bestätigen]. Deine Daten aus der Bibliothek sind in deinem Datenexport (Abschnitt 7) enthalten.

Bilder fremder Inhalte: Bilder zu Rezepten, die andere für dich sichtbar machen (z. B. Katalog-Rezepte, von Nutzern veröffentlichte Rezepte und anonym veröffentlichte KI-Rezepte), lädt die App ausschließlich von unserem eigenen Speicher bei Supabase. Verweist ein Rezept auf ein Bild bei einem fremden Server, lädt die App es nicht und zeigt stattdessen das Kategorie-Bild; auch unsere Datenbank nimmt solche Adressen nicht an. So erfährt kein Dritter deine IP-Adresse und den Zeitpunkt, nur weil du ein Rezept ansiehst.

Löschung ohne Cloud-Bibliothek: Weil deine eigenen, gemerkten und importierten Rezepte dann nur lokal auf deinem Gerät liegen, gibt es dazu serverseitig nichts zu löschen — sie verschwinden mit dem Löschen der App oder einem Zurücksetzen des Geräts. Für die Kopie eines in der Familie gewünschten importierten Rezepts gelten die Löschregeln in Abschnitt 3.7a: Sie verschwindet, wenn der Wunsch entfernt wird, und auch dann, wenn du das importierte Rezept auf deinem Gerät löschst (der zugehörige Wunsch wird dabei mit entfernt). Was du in der Community siehst, sind redaktionell eingepflegte Katalog-Rezepte, von Nutzern veröffentlichte eigene Rezepte (siehe oben) und automatisch veröffentlichte KI-Rezepte ohne Namen (Abschnitt 3.22).

3.6 Kühlschrank-Scan (Kamera)

Für den Scan greifst du auf Kamera bzw. Fotobibliothek zu. Das Foto wird zur Zutatenerkennung an unseren KI-Dienstleister (derzeit Google/Gemini API, siehe 3.8) übermittelt. Wir speichern das Foto nicht dauerhaft: Die lokale Bildkopie wird nach der Erkennung sofort gelöscht (Fallback-Aufräumung spätestens nach 24 Stunden); auch serverseitig wird das Foto nicht gespeichert. Gespeichert wird nur die erkannte Zutatenliste (zu den daraus erzeugten Rezepten siehe unten): Sie liegt ausschließlich auf deinem Gerät — so lange, bis du die Einträge löschst, dein Kühlschrank-Kontrollzentrum leerst oder die App deinstallierst; ein Abgleich zwischen deinen Geräten findet dafür (noch) nicht statt. Die Rezepte, die die KI aus deinem Scan oder deinen Zutaten erzeugt, speichert die App auf deinem Gerät: im „Verlauf“, privat, höchstens die neuesten 60 Rezepte samt dem erzeugten Bild. Stimmst du der Cloud-Bibliothek zu (3.5), legt unser Server außerdem jedes erfolgreich erzeugte KI-Rezept — ohne Bild — privat in deinem Konto an und verknüpft es mit deinem Konto (3.22); die Bilder privater KI-Rezepte liegen weiter nur auf deinem Gerät. Du kannst Rezepte einzeln aus dem Verlauf entfernen; lokal verschwinden sie außerdem mit der Kontolöschung oder der Deinstallation. Unabhängig davon kann ein Rezept — ohne Namen — für alle im Entdecken erscheinen (Abschnitt 3.22). Das Bild zu einem solchen Rezept erzeugt in der Regel unser Server (mit demselben Bilddienst und derselben Gericht-Beschreibung wie bisher die App, siehe 3.8) und schickt es direkt an die App, die es auf deinem Gerät ablegt (Verlauf). Auf unserem Server gespeichert wird ein Bild nur, wenn sein Rezept die Prüfung in Abschnitt 3.22 besteht und anonym veröffentlicht wird — dann ohne Verbindung zu deinem Konto. Alle anderen Bilder (z. B. abgelehnte Rezepte, Rezepte mit persönlichen Angaben oder nach einem Widerspruch) bleiben nur auf deinem Gerät. Ist der Server gestört oder die Funktion abgeschaltet, erzeugt — wie bisher — die App das Bild selbst; ist dein tägliches KI-Kontingent erreicht, gibt es kein Bild. Für die zulässigen Foto-Motive gilt die Nutzerpflicht in den AGB (Ziffer 7). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.7 Einkaufsliste, Vorrat und Familiengruppe

Deine private Einkaufsliste und dein privater Vorrat liegen ausschließlich auf deinem Gerät — es gibt dafür (noch) keinen geräteübergreifenden Abgleich (Cloud-Synchronisation). Sie sind nur für dich sichtbar und bleiben gespeichert, bis du einzelne Einträge löschst, die jeweilige Liste leerst oder die App deinstallierst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wichtig — keine Auswertung: Wir werten deine Einkaufslisten, deinen Vorrat und deine Scan-Ergebnisse nicht aus, um Rückschlüsse auf deine Gesundheit oder Ernährungsgewohnheiten zu ziehen, und erstellen daraus ohne deine ausdrückliche Einwilligung keine Profile.

Die Familien-Einkaufsliste und der Familien-Vorrat (einschließlich der Angabe, was immer vorrätig sein soll) werden ebenfalls serverseitig gespeichert, damit alle Mitglieder dieselbe Liste sehen und gemeinsam bearbeiten können. Gespeichert werden pro Eintrag Bezeichnung, Menge/Einheit, Kategorie, der Erledigt-Status sowie die Kennung des Mitglieds, das den Eintrag angelegt hat. Diese Einträge sind für alle Mitglieder deiner Familiengruppe sichtbar und können von ihnen geändert und gelöscht werden. Trage dort deshalb nur Angaben ein, die die übrigen Mitglieder sehen dürfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Familiengruppen werden ebenfalls serverseitig verarbeitet (Dienstleister: Supabase), damit alle Mitglieder dieselbe Gruppe sehen: gespeichert werden Gruppenname sowie pro Mitglied Anzeigename und — nur mit deiner ausdrücklichen Einwilligung nach Abschnitt 3.11 — Allergien/Abneigungen. Diese Angaben sind für die übrigen Mitglieder deiner Familiengruppe sichtbar (Zweck: familiengerechte Rezepte). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Allergien Art. 9 Abs. 2 lit. a DSGVO.

Ein Konto kann höchstens einer Familiengruppe gleichzeitig angehören; wer beitreten möchte, während er noch Mitglied einer anderen Familie ist, muss diese zuerst verlassen. Eine Familiengruppe hat höchstens 10 Mitglieder (die Person, die sie erstellt hat, mitgezählt). Ist sie voll, schlägt jeder weitere Beitritt fehl, ohne dass der Beitrittscode oder -link dabei verbraucht wird; tritt ein Mitglied aus oder wird es entfernt, wird wieder ein Platz frei.

Um Mitglieder aufzunehmen, erzeugt die App auf Wunsch einen zeitlich begrenzten Beitrittscode (sechs Zeichen, gültig 3 Stunden, höchstens 10 Beitritte, jederzeit erneuerbar) oder einen Einladungslink (gültig 14 Tage, höchstens 25 Beitritte, jederzeit erneuerbar). Diese Zahlen begrenzen nur, wie oft ein einzelner Code bzw. Link benutzt werden kann; die Obergrenze von 10 Mitgliedern je Familiengruppe gilt unabhängig davon. Abgelaufene oder erneuerte Codes und Links verlieren sofort ihre Gültigkeit; die zugehörigen Einträge werden täglich automatisch gelöscht, sobald sie älter als 30 Tage sind. Beitritte laufen ausschließlich über unsere serverseitige Funktion, die den Beitretenden authentifiziert und Missbrauch drosselt (siehe 3.3).

Nur der Admin — die Person, die die Familie erstellt hat, oder ihr Nachfolger (siehe Löschung/Austritt unten) — kann diese Beitrittscodes und -links erzeugen, einsehen oder erneuern und kann einzelne Mitglieder aus der Familie entfernen. Entfernt der Admin ein Mitglied, werden zugleich alle aktiven Beitrittscodes und -links der Familie sofort ungültig, damit das entfernte Mitglied nicht über einen ihm bereits bekannten Code oder Link erneut beitreten kann.

Löschung: Einzelne Einträge kannst du jederzeit in der App entfernen, solange du Mitglied der Familie bist. Beim Austritt aus der Familie werden deine Mitgliedsdaten entfernt; die von dir angelegten Listen-Einträge bleiben bei der Familie, weil sie funktional der Familie gehören und die übrigen Mitglieder weiter damit einkaufen — die interne Angabe, wer den Eintrag angelegt hat, bleibt dabei zunächst erhalten. Bei Kontolöschung wird diese Angabe entfernt (Anonymisierung); die Einträge bleiben dann als anonyme Einträge der Familie bestehen. Anders bei importierten Rezepten, die du in der Familie geteilt hast: Sie werden beim Austritt, bei der Entfernung durch den Admin und bei der Kontolöschung gelöscht, nicht anonymisiert (Abschnitt 3.7a).

Verlässt der Admin die Familie und gibt es weitere Mitglieder, geht die Verwaltung automatisch auf das am längsten beteiligte Mitglied über. Ist der Admin das einzige verbleibende Mitglied, wird die Familiengruppe beim Austritt vollständig gelöscht — einschließlich aller Listen-Einträge, Rezeptwünsche und geteilten Rezepte sowie aktiver Beitrittscodes und -links.

3.7a Rezeptwünsche und in der Familie geteilte importierte Rezepte

Rezeptwünsche: Mitglieder einer Familiengruppe können sich Rezepte „wünschen", damit die Familie sieht, was gekocht werden soll. Dafür speichern wir serverseitig (Dienstleister: Supabase) den Titel des Wunsches, die Kennung des Mitglieds, das ihn angelegt hat, seinen Status, den Zeitpunkt und ggf. einen Verweis auf ein passendes Community-Rezept. Wünsche sind für alle Mitglieder deiner Familiengruppe sichtbar, und jedes Mitglied kann jeden Wunsch der Familie entfernen (gemeinsame Liste). Ein Wunsch wird gelöscht, wenn ein Mitglied ihn entfernt, die Familiengruppe aufgelöst wird oder das Konto des wünschenden Mitglieds gelöscht wird.

Importierte Rezepte in der Familie wünschen: Importierte Rezepte liegen sonst nur auf deinem Gerät (3.5). Wünschst du ein importiertes Rezept in deiner Familie, legen wir — nur auf deine Aktion hin — zusätzlich eine Kopie seines Rezepttextes serverseitig an, damit die anderen Mitglieder das Rezept auch öffnen und nachkochen können. Gespeichert werden: Titel, Beschreibung, Zutaten mit Mengen und Einheiten, Zubereitungsschritte, Portionen, Dauer, Schwierigkeitsgrad, Kategorie, Schlagwörter, geschätzte Nährwerte, der Link zur Originalquelle (sofern vorhanden), die Kennung deines Kontos als teilendes Mitglied, die Familiengruppe und der Zeitpunkt. Ein Bild wird nicht gespeichert — die Familie sieht stattdessen einen Platzhalter.

• Wer es sieht: ausschließlich die Mitglieder deiner Familiengruppe (höchstens 10 Personen, siehe 3.7) — in der Wunschliste, in der Familien-Ansicht, in der Detailansicht des Rezepts und als Treffer, wenn ihre Zutaten zum Rezept passen („Sofort kochbar"). Das geteilte Rezept ist nie öffentlich: Es erscheint nicht im Entdecken-Feed, nicht in der Community-Suche, nicht in Kategorien und nicht in einem öffentlichen Profil, und wir veröffentlichen es auch nicht anderweitig. In der Detailansicht wird als Quelle nur die Domain der Originalseite angezeigt (z. B. „beispiel.de"), nicht die volle Adresse. Der Zugriff ist in unserer Datenbank technisch auf Mitglieder derselben Familiengruppe beschränkt; Personen ohne Konto und Mitglieder anderer Familien haben keinen Zugriff.
• Nur lesen, unveränderlich: Die übrigen Mitglieder können die Kopie nur ansehen, nicht ändern. Die Kopie ist eine Momentaufnahme: Änderst du später das Rezept auf deinem Gerät, wird die geteilte Kopie nicht angepasst.
• Obergrenze: höchstens 100 geteilte Rezepte je Familiengruppe.
• KI-Dienstleister: Das Teilen selbst übermittelt nichts an unsere KI-Dienstleister (für den Import selbst siehe 3.5 und 3.8). Aber: Speichert ein Mitglied — du oder ein anderes — das geteilte Rezept in seiner Merkliste, kann dessen Titel wie bei jedem gespeicherten Rezept als Teil der Liste gespeicherter Rezeptnamen (bis zu 10) im Kontext des KI-Assistenten an unseren KI-Dienstleister übermittelt werden (3.8). Der übrige Rezepttext gehört nicht zu diesem Chat-Kontext.
• Teile nur, was du teilen darfst: Für den Inhalt bist du verantwortlich (AGB Ziffer 7 und Ziffer 9 Nr. 4, IP-Policy). Prüfe vor dem Teilen, ob das Rezept Angaben enthält, die die anderen Mitglieder nicht sehen sollen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Speicherung ist für die von dir ausgelöste Familienfunktion erforderlich. Eine gesonderte Einwilligung holen wir dafür nicht ein: Das geteilte Rezept enthält keine Angaben über dich als Person außer deiner Kontokennung. Rezeptangaben wie „glutenfrei“ in den Schlagwörtern können im Einzelfall Rückschlüsse auf Ernährungsweise oder Gesundheit zulassen (siehe 3.5 und 3.11); wir werten sie nicht aus und verknüpfen sie nicht zu einem Gesundheitsprofil [UNSICHER: ob für das Teilen in der Familie eine Einwilligung nötig ist — Recherche A25, U1]. Zu Allergie-Angaben siehe 3.11. Empfänger: Supabase als Auftragsverarbeiter (Abschnitt 4) sowie die übrigen Mitglieder deiner Familiengruppe. Ein neuer Dienstleister kommt nicht hinzu.

Löschung: Die geteilte Kopie wird gelöscht, sobald

1. der zugehörige Wunsch entfernt wird — durch dich oder durch ein anderes Mitglied deiner Familie;
2. du die Familiengruppe verlässt oder der Admin dich aus der Familie entfernt;
3. du dein Konto löschst;
4. die Familiengruppe aufgelöst wird;
5. du das importierte Rezept auf deinem Gerät löschst [PRÜFEN: Code — der Wunsch und damit die Kopie werden derzeit nur beim Löschen in der Rezept-Detailansicht entfernt (app/recipe/[id].tsx); beim Löschen in der Profil-Liste „Importiert“ ruft die App deleteRecipe ohne Entfernen des Wunsches auf (app/(tabs)/profile.tsx). Code angleichen oder diesen Punkt einschränken; gleiches in AGB Ziffer 2 Nr. 6, retention.md, ropa.md V20].

In den Fällen 2 bis 5 verschwindet der zugehörige Wunsch mit. Sicherungskopien laufen wie in Abschnitt 6 beschrieben aus. Was andere Mitglieder sich außerhalb der App notiert oder abfotografiert haben, können wir nicht löschen. Die von dir geteilten Rezepte und deine Wünsche sind in deinem Datenexport (Abschnitt 7) enthalten.

3.8 KI-Assistent und KI-Funktionen

Der KI-Assistent ist ein KI-System; Antworten werden automatisch erzeugt und können Fehler enthalten (Hinweis nach Art. 50 KI-VO direkt im Chat). Zur Beantwortung werden deine Nachrichten und ein funktionaler Kontext (z. B. Kühlschrankinhalt, Einkaufsliste, gewählter Ernährungsstil, die Titel von bis zu zehn deiner gemerkten Rezepte) an unseren KI-Dienstleister übermittelt. Von den gemerkten Rezepten gehen nur diese Titel mit — keine Rezepttexte, Fotos oder Notizen. Dass deine gemerkten Rezepte mit deiner Einwilligung in der Cloud-Bibliothek liegen (3.5), ändert daran nichts: Der Kontext entsteht auf deinem Gerät, die Bibliothek auf dem Server wird dafür nicht ausgelesen. Wir übermitteln dabei keine internen Kennungen, keinen Klarnamen und — ohne deine ausdrückliche Einwilligung — keine Allergie- oder Gesundheitsdaten. Eine Nutzung deiner Inhalte zum Training der KI-Modelle findet nicht statt; der Anbieter speichert API-Eingaben zur Missbrauchskontrolle für max. 30 Tage und löscht sie dann. Empfänger: OpenAI (Vertragspartner für den EWR: OpenAI Ireland Ltd.; Muttergesellschaft OpenAI, L.L.C., USA) für Chat, Rezeptgenerierung, Textprüfung sowie die Qualitäts- und Sicherheitsprüfung vor der anonymen Community-Veröffentlichung von KI-Rezepten (Abschnitt 3.22) und vor dem Veröffentlichen eigener Rezepte (Abschnitt 3.5; dabei geht der Rezepttext — Titel, Beschreibung, Zutaten, Schritte, Schlagwörter, Kategorie — an OpenAI, ohne Konto-Kennung und ohne Namen). Für die Bilderkennung (Kühlschrank-Scan, Prüfung hochgeladener Rezeptfotos, vor dem Veröffentlichen eines eigenen Rezepts die Prüfung des Fotos und der Abgleich von Foto, Titel und bis zu acht Zutatennamen — Abschnitt 3.5) und die Generierung von Rezeptbildern nutzen wir Google (Gemini API; Vertragspartner für den EWR: Google Ireland Ltd., Muttergesellschaft Google LLC, USA). Scan- und Prüf-Fotos werden dabei nur vorübergehend verarbeitet und weder von uns noch vom Anbieter dauerhaft gespeichert (Abschnitt 3.6); für Rezeptbilder wird ausschließlich eine automatisch erzeugte englische Gericht-Beschreibung übermittelt (bei Rezepten aus Scan oder Zutatenliste in der Regel von unserem Server aus; gespeichert wird ein Bild dort nur, wenn sein Rezept veröffentlicht wird, Abschnitte 3.6 und 3.22). Bei beiden Anbietern findet kein Training mit den Inhalten statt. Sollten wir einen KI-Dienstleister wechseln, aktualisieren wir diese Erklärung vorab. Drittland: USA, abgesichert über EU-Standardvertragsklauseln bzw. bei Google zusätzlich das EU-US Data Privacy Framework (siehe Abschnitt 5). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Den Chatverlauf speichern wir nicht auf unseren Servern, sondern nur verschlüsselt auf deinem Gerät (im iOS-Schlüsselbund bzw. mit einem Schlüssel aus dem Android-Keystore verschlüsselt; ein verschlüsseltes Geräte-Backup, das du selbst anlegst, kann ihn enthalten), und dort nur die neuesten Nachrichten (ältere werden automatisch entfernt). Du kannst ihn jederzeit in der App löschen; beim Löschen deines Kontos wird er ebenfalls entfernt.

3.9 „Schon gesehen"-Funktion (Feed ohne Wiederholungen)

Damit dir im Entdecken-Feed nicht dauernd dieselben Rezepte angezeigt werden, merken wir uns ausschließlich die Kennungen (IDs) der dir bereits gezeigten Rezepte sowie den Kalendertag — keine Verweildauer, kein Interessenprofil. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (die Interessenabwägung stellen wir dir auf Anfrage unter support@gusti.biz zur Verfügung). Widerspruchsrecht (Art. 21): Du kannst dieser Verarbeitung jederzeit in den Einstellungen unter „Datenschutz & Daten" widersprechen; dann wird nichts mehr gespeichert.

3.10 Personalisierte Rezeptvorschläge (nur mit Einwilligung)

Wenn — und nur wenn — du ausdrücklich einwilligst, erfassen wir, welche Rezepte du dir ansiehst und ungefähr wie lange — in groben Stufen (unter 5 s, 5–15 s, 15–60 s, 1–3 min, über 3 min; Zeitpunkt auf die Minute gerundet). Eine sekundengenaue Aufzeichnung findet nicht statt (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Daraus erstellen wir ein Interessenprofil, um dir passendere Rezepte vorzuschlagen (Profiling nach Art. 13 Abs. 2 lit. f, Art. 22 DSGVO; eine automatisierte Entscheidung mit rechtlicher Wirkung ist damit nicht verbunden). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; zugleich deine Einwilligung nach § 25 Abs. 1 TDDDG für das Auslesen der Verweildauer auf deinem Gerät — beides erteilst du in einem gemeinsamen, klar beschriebenen Schritt. Speicherdauer: max. 12 Monate. Widerruf: jederzeit in den Einstellungen mit Wirkung für die Zukunft; deine bisherigen Profildaten werden dann unverzüglich gelöscht. Ohne Einwilligung ist die App voll nutzbar.

3.11 Ernährungspräferenzen und Allergien

Neutrale Ernährungsfilter (z. B. vegetarisch, vegan, glutenfrei, Lieblingsküchen) verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, weil du diese Filterfunktion wünschst. Du kannst mehrere Ernährungsstile gleichzeitig auswählen (z. B. „glutenfrei" und „laktosefrei"). Deine Auswahl wird — wie schon bisher der einzelne Ernährungsstil — als Filter- und Rezeptvorgabe an unseren KI-Dienstleister übermittelt (Abschnitt 3.8), damit die Vorschläge zu dir passen. Wir behandeln diese Angaben weiterhin als neutrale Ernährungsfilter und nicht als Gesundheitsdaten, weil sie eine Zubereitungspräferenz ausdrücken und keine Diagnose, keine Unverträglichkeit und keine Allergie behaupten — auch eine Mehrfachauswahl (z. B. „glutenfrei" und „laktosefrei") bleibt eine Auswahl von Zubereitungsvorgaben und wird von uns weder als Krankheitsangabe ausgewertet noch mit weiteren Daten zu einem Gesundheitsprofil verknüpft. Angaben, die eine Unverträglichkeit oder Allergie benennen, verarbeiten wir ausschließlich nach den strengeren Regeln des folgenden Absatzes. Rezepte sind etwas anderes als diese Filter: Ein Rezepttitel, ein Schlagwort oder eine Notiz (z. B. „glutenfrei“) in deinen eigenen, importierten oder KI-erzeugten Rezepten kann Rückschlüsse auf deine Ernährung oder Gesundheit zulassen. Deshalb holen wir für die Cloud-Bibliothek vorsorglich eine eigene, ausdrückliche Einwilligung ein (Abschnitt 3.5).

Angaben zu Allergien und Unverträglichkeiten sind Gesundheitsdaten (Art. 9 DSGVO). Wir speichern und verarbeiten solche Angaben nur nach deiner ausdrücklichen, separaten und jederzeit widerrufbaren Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), niemals als Pflichtfeld. Mit deiner Einwilligung werden diese Angaben:

• serverseitig in deinem Profil gespeichert (Dienstleister: Supabase; eine Übermittlung in die USA ist dabei möglich, siehe Abschnitt 5), damit sie auf allen deinen Geräten verfügbar sind;
• sofern du einer Familiengruppe beitrittst oder eine erstellst, in deinem Mitgliedsprofil gespeichert und für die übrigen Familienmitglieder sichtbar gemacht (Zweck: familiengerechte Rezeptvorschläge, siehe 3.7);
• ausschließlich zur Filterung/Kennzeichnung von Rezepten und — nur mit deiner Einwilligung — als Kontext für KI-Rezeptvorschläge (3.8) genutzt.

Widerruf: jederzeit in den Einstellungen unter „Datenschutz & Daten"; deine Allergie-Angaben werden dann unverzüglich gelöscht (lokal und serverseitig, technisch im selben Vorgang wie der Widerruf; Sicherungskopien laufen innerhalb von max. 30 Tagen aus). Diese App ersetzt keine medizinische Beratung — prüfe Zutaten bei Allergien stets selbst.

3.12 Likes, gemerkte Rezepte und Trending

Ein „Like" wird mit deiner Nutzerkennung und der Rezeptkennung gespeichert (Art. 6 Abs. 1 lit. b DSGVO). Das tägliche „Trending"-Ranking wird aggregiert und ohne Personenbezug berechnet (Art. 6 Abs. 1 lit. f DSGVO).

Gemerkte Rezepte (Lesezeichen) sind kein Like: Ohne Einwilligung bleiben sie nur auf deinem Gerät. Mit deiner Einwilligung in die Cloud-Bibliothek speichern wir sie in deinem Konto (Abschnitt 3.5), weil eine Sammlung gemerkter Rezepte Rückschlüsse auf Ernährung oder Gesundheit zulassen kann. Deshalb stützen wir sie nicht auf Art. 6 Abs. 1 lit. b wie Likes, sondern auf deine Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO).

3.13 Lokale Einstellungen

Sprache und Hell-/Dunkel-Modus werden lokal auf dem Gerät gespeichert (ohne eindeutige Nutzerkennung), ebenso ein Merker, dass auf dem Gerät schon einmal ein Konto angemeldet war (nur Ja/Nein, damit du nach dem Abmelden direkt zur Anmeldung kommst; er wird bei der Kontolöschung entfernt), und ein Merker, dass die App auf dem Gerät schon einmal gestartet wurde (nur Ja/Nein, ohne Kennung; er wird nicht übertragen und verschwindet mit der Deinstallation). Er dient dazu, beim ersten Start nach einer erneuten Installation die Anmeldung und die zuletzt verwendeten verschlüsselten Angaben aus dem Schlüsselbund des Geräts zu entfernen, die iOS bei einer Deinstallation zurückbehält. Außerdem setzt die App nach einer erfolgreichen Löschung deines Kontos beim Anbieter kurzzeitig einen Merker, dass die Löschung auf dem Gerät noch nicht abgeschlossen ist. Er enthält die technische Kennung des gelöschten Kontos (sonst nichts, keine Inhalte), wird nicht übertragen und entfernt, sobald die Abmeldung auf dem Gerät abgeschlossen ist (nach einer unterbrochenen Löschung beim nächsten Start). Er verhindert, dass nach einer unterbrochenen Löschung Angaben des gelöschten Kontos auf dem Gerät zurückbleiben. Dies ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Außerdem führt die App drei weitere technische Merker, die nie übertragen werden: (a) eine Sperrliste für Schlüsselbund-Einträge — konnte die App beim Abmelden einen Rest deiner Anmeldung im Schlüsselbund des Geräts nicht nachweislich entfernen, merkt sie sich nur den Namen dieses Eintrags (z. B. „sb--auth-token“; keine Kontokennung, kein Inhalt) und blendet ihn aus, bis das Entfernen beim nächsten Start gelingt; danach wird der Merker gelöscht. Er verhindert, dass eine bereits beendete Sitzung unbemerkt wieder aktiv wird (Art. 32 DSGVO); (b) bei einer Anmeldung mit Apple die technische Kennung der Sitzung (nicht deine Kontokennung und kein Zugangsschlüssel), damit die App nur Sitzungen, die mit Apple begonnen haben, auf einen Widerruf in deinen Apple-Einstellungen prüft (Abschnitt 3.2); er wird beim Abmelden, bei der Kontolöschung und bei einer abgelaufenen Sitzung gelöscht; (c) in den lokal verschlüsselt gespeicherten Profil-Angaben (Abschnitt 3.20) ein Vermerk mit der Kennung deines eigenen Kontos, dass dein Profil auf diesem Gerät schon einmal bestätigt vom Server geladen wurde — damit die App Änderungen an deinen Listen (z. B. Vorlieben) nicht auf einem leeren oder veralteten lokalen Stand aufbaut und deine auf dem Server gespeicherten Listen überschreibt; er wird zusammen mit diesen Angaben beim Abmelden verschlüsselt beiseitegelegt (wie in Abschnitt 3.20 beschrieben), bei der Kontolöschung entfernt und erscheint im lokalen Datenexport (Abschnitt 7). Auch diese Merker sind technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). (a) enthält nur den Namen eines Speichereintrags, (b) nur eine technische Sitzungskennung ohne Kontokennung und ohne Zugangsschlüssel; beide werden nie übertragen und sind deshalb nicht im Datenexport enthalten. (a) wird gelöscht, sobald das Entfernen des Eintrags gelingt, (b) spätestens beim Abmelden bzw. bei der Kontolöschung. Hinzu kommt bei eingeschalteter Cloud-Bibliothek (3.5) ein lokaler Vermerk mit der Kennung deines eigenen Kontos und dem Modus „lokal“ oder „Cloud“ (zwei Marker, kein Rezeptinhalt): Er sagt der App, ob deine Rezepte in deinem Konto liegen; er wird beim Abmelden mit deinen Daten verschlüsselt beiseitegelegt, bei der Kontolöschung entfernt und erscheint im lokalen Datenexport (Abschnitt 7). Die lokale Rezeptkopie trägt dann zusätzlich technische Marken (Änderungszähler, Pfad des Fotos), die den Abgleich mit deinem Konto ermöglichen. Auch das ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Angaben, die ausschließlich auf deinem Gerät bleiben, sind in Abschnitt 3.20 beschrieben.

3.14 Abo und Kaufabwicklung (Apple App Store, Google Play, RevenueCat)

Die Nutzung der App erfordert ein kostenpflichtiges Abonnement (ggf. mit kostenloser Testphase — Details in den AGB). Bestellung, Bezahlung und Rechnungsstellung erfolgen ausschließlich über den Apple App Store bzw. Google Play (In-App-Kauf). Wir erhalten dabei keine Zahlungsdaten (keine Kreditkarten- oder Kontodaten). Verantwortlich für die Zahlungsdaten sind Apple bzw. Google; es gelten deren Datenschutzhinweise.

Zur Verwaltung deines Abo-Status (Freischaltung der Funktionen, Prüfung der Kaufbelege) setzen wir RevenueCat, Inc. (USA) als Auftragsverarbeiter ein. RevenueCat verarbeitet dazu: deine Konto-Kennung (dieselbe pseudonyme Nutzer-ID wie in unserer Datenbank, ohne Klarnamen — vor der Anmeldung bzw. nach dem Abmelden eine von RevenueCat erzeugte zufällige Kennung, die beim Anmelden mit deinem Konto zusammengeführt wird), den Kaufbeleg bzw. Kauf-Token von Apple/Google, Gerätetyp und Betriebssystem-Version sowie den daraus abgeleiteten Abo-Status. RevenueCat erhält keine Zahlungsdaten und keine Klarnamen. Drittland: USA, abgesichert über EU-Standardvertragsklauseln (Auftragsverarbeitungsvertrag, siehe Abschnitt 5). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: solange dein Abo bzw. Konto besteht.

„Abo verwalten“ (Customer Center): Tippst du in den Einstellungen auf „Abo verwalten“, öffnet die App das Customer Center von RevenueCat — eine vom RevenueCat-Baustein in der App dargestellte Oberfläche, in der du dein Abo einsehen, Käufe wiederherstellen und zur Abo-Verwaltung deines Stores gelangen kannst. RevenueCat verarbeitet dabei dieselben Angaben wie oben (Konto-Kennung, Kaufbelege, Gerätetyp und Betriebssystem-Version, Abo-Status). Je nach Einstellung im RevenueCat-Konto kann dort zusätzlich eine kurze Rückfrage zum Grund einer Kündigung oder eine Rückerstattungsanfrage an Apple bzw. Google angeboten werden; was du dort angibst, geht an RevenueCat bzw. an den Store, nicht an uns. [PRÜFEN: Welche Customer-Center-Funktionen sind im RevenueCat-Dashboard eingeschaltet (Kündigungs-Umfrage, Rückerstattung, Support-Kontakt)? Text darauf abstimmen und die Datenschutzhinweise von RevenueCat zu dieser Funktion prüfen.] Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Serverseitiger Abo-Status: Damit nicht nur dein Gerät, sondern auch unser Server verlässlich weiß, ob dein Zugang aktiv ist — und damit ein Platz im Familien-Abo (3.14a) einem bezahlten Abo zugeordnet werden kann —, fragt unsere Server-Funktion den Abo-Status deines Kontos über eine nur lesende Schnittstelle bei RevenueCat ab und speichert das Ergebnis bei Supabase: Konto-Kennung, Art des Anspruchs (Einzel-Abo oder Familien-Abo), aktiv ja/nein, Ablaufzeitpunkt, eine Kaufreferenz von RevenueCat (damit ein Familien-Abo-Kauf höchstens einem Plan zugeordnet wird), den Zeitpunkt der Bestätigung und einen technischen Zähler. Ein Ergebnis wird nur für wenige Minuten wiederverwendet; ist RevenueCat kurz nicht erreichbar, gilt der zuletzt bestätigte Stand höchstens eine Stunde nach seiner Bestätigung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Kontolöschung.

3.14a Familien-Abo: Plätze, Einladungen, Annahme (auch Information für eingeladene Personen, Art. 14 DSGVO)

ENTWURF — vor Veröffentlichung gegen die Primärquellen prüfen (Recherche); die Funktion ist erst mit dem Release nutzbar (siehe Veröffentlichungs-Gate, Punkte 15 und 19).

Was das ist: Beim Familien-Abo kauft eine Person (der Zahler) ein gemeinsames Abo über den Apple App Store bzw. Google Play (Abwicklung wie in 3.14). Das Abo umfasst höchstens 5 Personen: den Zahler und bis zu 4 weitere Personen auf vier „Plätzen“. Der Zahler trägt für jeden Platz die E-Mail-Adresse der Person ein, die er einladen möchte. Eine eingeladene Person bekommt dadurch Zugang zu den Funktionen der App, ohne selbst ein Abo zu kaufen, und tritt der Familiengruppe des Zahlers bei (3.7).

Ablauf und was dabei verarbeitet wird:

1. Eintragen und Einladen. Der Zahler gibt die E-Mail-Adresse für einen Platz ein. Unser Server prüft, dass der Zahler ein aktives Familien-Abo hat, bringt die Adresse in eine einheitliche Schreibweise (Leerzeichen entfernt, Kleinbuchstaben) und speichert sie in zwei Zeilen unserer Datenbank (Supabase): (a) beim Platz (Adresse, Ablaufzeit der Einladung, eine Versionsnummer) und (b) im Postausgang für Einladungs-Mails (Adresse, Art der Mail, Verweis auf Plan und Platz, der Einladungs-Link, Versandstatus, Anzahl der Versuche, Zeitpunkt). Nach dem Versand (oder wenn die Einladung verworfen wird) löschen wir Adresse und Link aus dem Postausgang; der Eintrag ohne diese Angaben bleibt zur Nachverfolgung noch bis zu 14 Tage (bei fehlgeschlagenem Versand 30 Tage). Den Einladungs-Link (eine zufällige, nicht erratbare Zeichenfolge) speichern wir beim Platz nur als Hash; im Klartext liegt er nur im Postausgang, bis die Mail verschickt oder die Einladung verworfen ist. Wir senden die Einladung per E-Mail über unseren Dienstleister [MAILDIENST – B3]. Eine Einladung gilt 14 Tage. Pro Plan sind höchstens 4 neue Einladungen und 4 Korrekturen bzw. Austausche je 90 Tage möglich. Eine noch nicht angenommene Einladung kann der Zahler korrigieren (andere Adresse eintragen); beim Platz wird die bisherige Adresse dabei überschrieben, die alte Einladung ist damit ungültig. Eine an die bisherige Adresse noch nicht versendete Einladung im Postausgang wird dabei sofort storniert (Adresse und Link werden dort entfernt).
2. Annehmen. Die eingeladene Person öffnet den Link, meldet sich an oder registriert sich — mit genau der eingeladenen E-Mail-Adresse — und bestätigt anschließend in der App ausdrücklich die Annahme (vorher zeigt die App Hinweise, u. a. zum Verlassen der bisherigen Familiengruppe, und lässt dich abbrechen); damit trittst du der Familiengruppe bei. Unser Server liest dazu Konto-Kennung und die bestätigte Adresse aus unserem Anmeldedienst (nie aus der Anfrage der App), vergleicht sie mit der eingeladenen Adresse und prüft Link, Ablauf, freien Platz und das aktive Abo des Zahlers. Bei jedem Ablehnungsgrund (unbekannt, abgelaufen, schon verbraucht, falsche Adresse) erscheint dieselbe Meldung; sie verrät nichts über fremde Pläne. Bei Erfolg wird der Platz mit der Konto-Kennung und dem Annahmezeitpunkt belegt und die gespeicherte Adresse und der Hash des Links werden sofort gelöscht; eine dazu noch nicht versendete Einladungs-Mail im Postausgang wird ebenfalls sofort storniert. War das Konto bereits Mitglied einer anderen Familiengruppe, verlässt es diese beim Beitritt (die App weist vorher darauf hin). Für die Familiengruppe gilt dann Abschnitt 3.7 (u. a.: der Anzeigename ist für die Mitglieder sichtbar; Allergie-Angaben nur mit deiner Einwilligung, 3.11). Der Zahler eines Familien-Abos kann nicht zugleich einer fremden Familiengruppe beitreten.
3. Austausch eines Platzes. Will der Zahler eine bereits angenommene Person durch eine andere ersetzen, bestätigt er das in den Einstellungen mit seinem Passwort (der Server prüft es einmalig bei unserem Anmeldedienst und beendet die dabei entstehende Sitzung unmittelbar danach; das Passwort wird weder gespeichert noch protokolliert; ggf. wird dabei hCaptcha, Abschnitt 3.3, abgefragt). Danach verliert die bisherige Person sofort den Zugang über das Familien-Abo und wird aus der Familiengruppe entfernt; alle zu diesem Zeitpunkt aktiven Beitrittscodes und -links der Familie werden ungültig (3.7). Der Platz ist anschließend 90 Tage für einen weiteren Austausch gesperrt; die Sperre gehört zum Platz (gespeichert als Zeitpunkt, kein Personenbezug) und bleibt auch bestehen, wenn die Person ihr Konto löscht oder die Familie verlässt. Ein noch nie belegter Platz und ein Platz, dessen Ersatz-Einladung nie jemand angenommen hat, lassen sich ohne diese Sperre neu vergeben. [PRÜFEN: Konten ohne Passwort (Google, Apple) können Plätze derzeit nicht austauschen — die Bestätigungs-Mail dafür ist nicht gebaut (Spezifikation F2 / B3); Hinweistext und Verfahren nach Entscheidung ergänzen.]
4. Ende des Abos. Läuft das Familien-Abo des Zahlers aus, wird gekündigt oder erstattet, verlieren die eingeladenen Personen den Zugang über das Familien-Abo (nach unserem nächsten Abgleich mit RevenueCat, siehe 3.14); der Plan wird als „abgelaufen“ markiert. 30 Tage danach schließt unser täglicher Aufräumlauf den Plan und löscht alle noch gespeicherten Adressen, Link-Hashes und Platzbelegungen. Weitere 30 Tage nach der Schließung löscht derselbe Lauf auch den Plan-Datensatz selbst endgültig (siehe „Geschlossene Pläne“ unten). Die Mitglieder bleiben in der Familiengruppe (eigene Entscheidung, 3.7), haben dort aber ohne eigenes Abo keinen Zugang mehr. Wird das Abo des Zahlers innerhalb der 30 Tage wieder aktiv (z. B. Zahlung nachgeholt oder neu gebucht), wird der Plan reaktiviert.

Daten des Zahlers: Konto-Kennung, Plan (Status, Zeitpunkt des Ablaufs, Erstellungszeitpunkt, Kaufreferenz von RevenueCat, Verknüpfung zur Familiengruppe, Zähler für Einladungen/Austausche und deren Zeitfenster) sowie die von ihm eingetragenen Adressen mit Platzstatus (frei / eingeladen / belegt). Bei einem belegten Platz zeigt die Platzübersicht dem Zahler nur „belegt“, nicht wer ihn innehat; die Mitglieder seiner Familiengruppe sieht er aber wie in 3.7. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (der Zahler hat das Familien-Abo gekauft und nutzt diese Funktion). Zahler: Gib nur Adressen von Personen ein, die du einladen darfst und die mindestens 18 Jahre alt sind (AGB Ziffer 2 Nr. 10).

Information für eingeladene Personen (Art. 14 DSGVO). Hast du eine Einladung zum Familien-Abo erhalten, ohne die App zu kennen, gilt für dich:

• Verantwortlicher: LENO Innovations Ltd, Kontakt wie in Abschnitt 1 (support@gusti.biz); EU-Vertreter siehe Abschnitt 1.
• Quelle: Deine E-Mail-Adresse hat uns die Person mitgeteilt, die dich eingeladen hat (der Zahler des Familien-Abos). [PRÜFEN: Ob die Einladungs-Mail den Namen des Zahlers nennt, steht nicht fest — die Mail ist noch nicht gebaut (B3); Art. 14 Abs. 2 lit. f verlangt die Nennung der Quelle, ggf. „die Person, die dich eingeladen hat“.]
• Welche Daten: nur deine E-Mail-Adresse (in einheitlicher Schreibweise), der Einladungs-Link (als Hash), Ablaufzeit, Versandstatus. Mehr erhalten wir von dir erst, wenn du dich selbst registrierst; dann gilt diese Erklärung insgesamt. [PRÜFEN: Öffnest du den Link im Browser statt in der App, liefert die Website gusti.biz die Seite aus; deren Server-Protokolle (u. a. IP-Adresse) regelt die Datenschutzerklärung der Website — abgleichen, ob der Einladungs-Link darin vorkommt.]
• Zweck: Wir versenden die Einladung, prüfen bei einer Annahme, dass sie zu deiner Adresse gehört, und weisen dir den Platz zu. Danach verwenden wir die Adresse nicht für andere Zwecke, insbesondere nicht für Werbung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser Interesse und das des Zahlers, ein gekauftes Familien-Abo mit den gewünschten Personen zu nutzen; deine Interessen sind gering betroffen, weil wir nur deine Adresse, nur kurz und nur für diese eine Einladung verarbeiten und du die Einladung folgenlos ignorieren kannst. [PRÜFEN: Interessenabwägung (LIA) für diese Verarbeitung liegt noch nicht vor — klären, ob Art. 6 Abs. 1 lit. f trägt und ob die Haushaltsausnahme (Art. 2 Abs. 2 lit. c) für den Zahler greift; bislang nicht recherchiert.]
• Empfänger: unser Dienstleister für den Mailversand [MAILDIENST – B3] und Supabase (Datenbank, Auftragsverarbeiter, Abschnitt 4). Der Zahler sieht die von ihm eingetragene Adresse und ob der Platz „eingeladen“ ist. Eine Übermittlung in ein Drittland: Supabase siehe Abschnitt 4/5 (Hosting EU; Support-Zugriff aus Drittländern möglich); für [MAILDIENST – B3] [PRÜFEN: Sitz/Region und Transfer-Garantie nach Auswahl eintragen].
• Speicherdauer: bis du die Einladung annimmst (dann löschen wir die Adresse sofort, außer sie ist deine Konto-Adresse), höchstens 14 Tage nach dem Eintragen (technisch kann der nächtliche Aufräumlauf bis zu einen Tag später laufen); beim Platz bei Korrektur, Austausch oder Ende des Plans früher. Im Postausgang entfernen wir die Adresse und den Link sofort, wenn die Einladung verschickt, korrigiert, ausgetauscht oder angenommen wird, wenn der Zahler sein Konto löscht oder der Plan geschlossen wird; sonst spätestens nach 14 Tagen (technisch kann der nächtliche Aufräumlauf bis zu einen Tag später laufen). Eine Ausnahme nennen wir ehrlich: eine Mail, die schon an den Maildienst übergeben ist, können wir nicht zurückholen. Endet das Abo des Zahlers (Ablauf, Kündigung zum Periodenende oder Erstattung), bleiben angenommene Plätze bis zu 30 Tage bestehen (siehe „Ende des Abos“ oben); die Adressen noch nicht angenommener Einladungen verlängert das nicht — sie entfernen wir wie sonst spätestens 14 Tage nach dem Eintragen, auch im Postausgang.
• Deine Rechte: Auskunft, Berichtigung, Löschung, Einschränkung (Art. 15–18) und Widerspruch (Art. 21) gegen die Verarbeitung deiner Adresse zur Einladung — eine Begründung ist nicht nötig; außerdem Beschwerde bei einer Aufsichtsbehörde (Art. 77). Löschung ohne Registrierung: Schreib uns an support@gusti.biz mit der eingeladenen Adresse, dann löschen wir sie und machen die Einladung ungültig. [PRÜFEN: Die Spezifikation sieht zusätzlich einen Link „Einladung ablehnen & Adresse löschen“ in der Einladungs-Mail vor — im Code nicht vorhanden; bis dahin nur per E-Mail.] Eine Pflicht zur Annahme gibt es nicht; wer nichts tut, dessen Einladung verfällt nach 14 Tagen.
• Keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO und kein Profiling.
• Mindestalter: Eingeladene Personen müssen mindestens 18 Jahre alt sein (Abschnitt 9, AGB Ziffer 6).

Missbrauchsschutz: Für die Funktionen „Plätze verwalten“, „Einladung annehmen“ und „Platz austauschen“ zählen wir Anfragen je Konto und je IP-Adresse als HMAC-Hash und sperren bei zu vielen Versuchen kurzzeitig — Zweck, Rechtsgrundlage (Art. 6 Abs. 1 lit. f) und Speicherdauer wie in Abschnitt 3.3.

Empfänger insgesamt: Supabase (Datenbank, Server-Funktionen), der Maildienst [MAILDIENST – B3], RevenueCat (Abo-Status, 3.14), bei Anmeldung mit Google/Apple deren Dienste (3.2), hCaptcha beim Austausch (3.3) sowie die übrigen Mitglieder der Familiengruppe (3.7).

Löschung, Auskunft und Export: Löschst du als Zahler dein Konto, wird der Plan sofort geschlossen: alle Adressen und Link-Hashes der Plätze und alle Platzbelegungen werden geleert (noch nicht versendete Einladungs-Mails im Postausgang werden sofort storniert); die Mitglieder verlieren den Zugang über das Familien-Abo, bleiben aber in der Familiengruppe. Löschst du als Mitglied dein Konto oder verlässt du die Familiengruppe, wird dein Platz frei (Person und Adresse entfernt; nur die 90-Tage-Sperre des Platzes bleibt bestehen). Eine Kontolöschung beendet das Store-Abo nicht (AGB Ziffer 4). Im Datenexport (Abschnitt 7) erhält der Zahler seinen Plan und die von ihm eingetragenen, noch nicht angenommenen Adressen mit Status; ein Mitglied erhält nur den Hinweis auf seinen Platz und das Annahmedatum. Geschlossene Pläne: Nach der Schließung (30 Tage nach Ablauf des Abos bzw. mit der Kontolöschung des Zahlers) sind alle Adressen, Link-Hashes und Platzbelegungen geleert. Der Plan-Datensatz selbst (Konto-Kennung des Zahlers — nach dessen Kontolöschung nur noch die Kaufreferenz von RevenueCat, die für uns dann allenfalls pseudonym, nicht nachweislich anonym ist —, Zeitstempel, Zähler und Sperrzeitpunkte der Plätze) wird 30 Tage nach der Schließung endgültig gelöscht, gemeinsam mit den Plätzen und den zugehörigen Postausgang-Zeilen. Das erledigt der nächtliche Aufräumlauf (03:31 Uhr UTC); die Löschung erfolgt also spätestens etwa 31 Tage nach der Schließung. Vom Ende des Abos bis zur Löschung des Plan-Datensatzes vergehen damit rund 60 Tage. Solange der Zahler sein Konto behält, ist der Datensatz ihm zugeordnet und erscheint in seinem Datenexport; löscht er sein Konto, wird der Plan sofort geschlossen und der Datensatz ohne Konto-Bezug noch 30 Tage aufbewahrt, danach gelöscht. Nebenfolge: Die 90-Tage-Sperre eines Platzes gehört zum Plan und geht mit seiner Löschung verloren; wird derselbe Kauf später als 30 Tage nach der Schließung wiederhergestellt, entsteht ein neuer Plan ohne Sperren. Sicherungskopien laufen wie in Abschnitt 6 beschrieben aus.

Rechtsgrundlagen im Überblick: Zahler: Art. 6 Abs. 1 lit. b DSGVO; eingeladene Personen: Art. 6 Abs. 1 lit. f DSGVO (siehe oben); Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO. Eine Einwilligung holen wir für das Familien-Abo nicht ein. Art.-9-Daten (Allergien) sind nicht Teil des Familien-Abos; sie gelten unverändert nur nach 3.11.

3.15 Absturz- und Fehlerdiagnose

Zur Stabilität und Fehlerbehebung erfassen wir technische Absturz- und Fehlerberichte über unseren Dienstleister Sentry. Ein Bericht enthält Fehlermeldung und Stacktrace, Gerätetyp, Betriebssystem- und App-Version sowie den groben Ablauf vor dem Fehler. Wir übermitteln dabei keine Gesundheits-/ Allergiedaten (Art. 9 DSGVO), keine Klarnamen, E-Mail-Adressen oder sonstigen direkten Identifikatoren — solche Angaben werden vor dem Versand automatisch entfernt (Datenminimierung); IP-Adressen werden nicht gespeichert. Rechtsgrundlage: unser berechtigtes Interesse an einer stabilen und sicheren App (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung jederzeit widersprechen (Kontakt siehe Abschnitt 1). Empfänger: Functional Software, Inc. (Sentry). Die Fehler-/Absturzdaten selbst speichern wir in der EU-Region (Frankfurt); Konto-, Konfigurations- und Support-Daten verarbeitet Sentry in den USA — abgesichert über die EU-US-DPF-Zertifizierung von Sentry und Standardvertragsklauseln (Abschnitt 5). Speicherdauer: Fehler-Events werden bei Sentry spätestens nach 90 Tagen gelöscht. [PRÜFEN: Die Fehlerdiagnose ist nur aktiv, wenn beim App-Build ein Sentry-Zugang (DSN) hinterlegt ist (services/monitoring.ts); ohne DSN wird nichts übermittelt (so auch in den Store-Angaben geführt). Diesen Abschnitt nur ausliefern, wenn der Build den DSN enthält — sonst die Zeilen zu Sentry in §2, §3.15, §4 und §5 herausnehmen.]

3.16 In-App-Postfach (Systemnachrichten)

In der App gibt es ein Postfach, über das wir dir Systemnachrichten zustellen (z. B. Hinweise zu deinem Konto, zu Moderationsentscheidungen — auch die Eingangsbestätigung und die Entscheidung zu deinen Meldungen sowie Hinweise, wenn eines deiner Rezepte gemeldet, markiert oder abgelehnt wird — oder zu Familienaktivitäten). Gespeichert werden der Nachrichtentext, die Zuordnung zu deinem Konto und der Gelesen-Status. Ein Versand von Nachrichten zwischen Nutzern ist nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung der Nachricht bzw. deines Kontos.

3.17 Push-Benachrichtigungen (derzeit nicht aktiv)

Die App versendet derzeit keine Push-Benachrichtigungen: Es wird kein Push-Token erzeugt oder gespeichert, und es werden keine Daten an einen Push-Dienst übermittelt. Die einzige Mitteilung der App ist die rein lokal auf deinem Gerät geplante Erinnerung an das Ende der Testphase (Abschnitt 3.21). Führen wir Push-Benachrichtigungen später ein, ergänzen wir diese Datenschutzerklärung vorher; werbliche Benachrichtigungen gibt es dann nur mit deiner gesonderten Einwilligung.

3.18 Nachweis von Einwilligungen

Erteilst oder widerrufst du eine Einwilligung (Abschnitte 3.5, 3.10, 3.11), protokollieren wir Zweck, Zeitpunkt, Entscheidung und die Version des angezeigten Einwilligungstextes, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO). Veröffentlichst du ein eigenes Rezept, protokollieren wir zusätzlich die Version deiner Veröffentlichungs-Erklärung und der Lizenz mit dem Zeitpunkt (3.5). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht). Speicherdauer: Einwilligungsnachweise bis zum Ende des dritten Kalenderjahres nach dem Jahr des Widerrufs — das deckt die regelmäßige Verjährungsfrist von drei Jahren ab, die mit dem Schluss des Jahres beginnt (§§ 195, 199 Abs. 1 BGB), und die Verteidigung gegen Ansprüche (Art. 17 Abs. 3 lit. e DSGVO) [UNSICHER: Verjährung von Ansprüchen nach Art. 82 DSGVO nicht belegt — Recherche A25, U10]; bei Kontolöschung löschen wir die Nachweise sofort. Besteht die Einwilligung, bleibt ihre ganze Geschichte erhalten. [gilt ab Anwendung von Migration 51 — noch nicht live, Gate 27] Die Erklärungen zu veröffentlichten Rezepten verlieren bei einer Kontolöschung den Bezug zu deinem Konto (3.5).

3.19 Angaben aus dem Einstieg: Nutzungsgrund und „Wie hast du uns gefunden?"

Beim Einstieg in die App fragen wir dich, wofür du die App nutzen möchtest (z. B. Zeit sparen, neue Ideen, Organisation) und wie du auf uns aufmerksam geworden bist (z. B. TikTok, Instagram, App Store, Freunde/Familie). Bei der zweiten Frage kannst du zusätzlich ein freies Textfeld ausfüllen; schreibe dort bitte nur hinein, was du uns tatsächlich mitteilen möchtest — wir werten das Feld nicht automatisiert aus, es wird aber wie von dir eingegeben in deinem Profil gespeichert.

Warum wir das brauchen: Die Nutzungsgründe zeigen uns, welche Funktionen wir weiterentwickeln sollten; die Angabe zum Kanal zeigt uns, wo Menschen uns finden. Wir nutzen beides ausschließlich zur Produktverbesserung und zur Auswertung unserer eigenen Reichweite — nicht für Werbung, nicht für Profilbildung und nicht für automatisierte Entscheidungen. Die Angaben werden nicht an unsere KI-Dienstleister übermittelt.

Beides ist freiwillig und überspringbar — die App funktioniert ohne diese Angaben unverändert. Speicherort: dein Profil bei unserem Dienstleister Supabase (user_profiles). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des eigenen Produkts und an der Kenntnis der eigenen Reichweite; die Interessenabwägung stellen wir dir auf Anfrage unter support@gusti.biz zur Verfügung). Speicherdauer: bis zur Kontolöschung oder bis zu deinem Widerspruch.

Widerspruchsrecht (Art. 13 Abs. 2 lit. b, Art. 21 DSGVO): Du kannst dieser Verarbeitung jederzeit widersprechen — eine Begründung ist nicht nötig. Schreib uns dazu an support@gusti.biz; wir löschen die Angaben dann unverzüglich aus deinem Profil, ohne dass du dadurch Funktionen verlierst. Mit der Löschung deines Kontos verschwinden sie ebenfalls.

3.20 Nur auf dem Gerät verarbeitete Angaben (Geschlecht, Geburtsdatum)

Beim Einstieg fragen wir dich zusätzlich nach deinem biologischen Geschlecht und deinem Geburtsdatum.

• Zweck: Anzeige passender Portionsgrößen und Mengenempfehlungen sowie die Prüfung, ob du das Mindestalter von 18 Jahren erreichst (siehe Abschnitt 9).
• Wo verarbeitet: ausschließlich lokal auf deinem Gerät, im verschlüsselten Gerätespeicher (iOS-Schlüsselbund bzw. Android-Keystore).
• Keine Übertragung: Diese beiden Angaben werden nicht an unsere Server und nicht an unsere KI-Dienstleister übermittelt. Es gibt in unserer Datenbank keine Felder dafür. Sie werden dort auch dann nicht gespeichert, wenn du dich anmeldest.
• Freiwilligkeit — unterschiedlich je Frage: Beim Geschlecht kannst du „Keine Angabe" wählen. Das Geburtsdatum ist dagegen ein Pflichtschritt des Einstiegs: Der Auswahlregler ist mit einem Datum vorbelegt, und weiter geht es nur mit dem gerade eingestellten Wert — es gibt an dieser Stelle kein „Überspringen". Wer den Regler nicht bewegt, übernimmt damit die Vorbelegung. Die Altersprüfung ist deshalb faktisch eine Selbstangabe (siehe Abschnitt 9); ohne Altersangabe ist der Einstieg nicht möglich (Abschnitt 8).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewünschte Darstellung) sowie unsere Vorgabe zur Alterskontrolle (Abschnitt 9); das Speichern auf deinem Gerät ist für diese von dir angeforderte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
• Löschung: Die Angaben bleiben bis zur Löschung deines Kontos oder der App auf dem Gerät. Beim Abmelden werden sie nicht gelöscht: Sie bleiben verschlüsselt auf dem Gerät und stehen nach erneuter Anmeldung mit demselben Konto wieder zur Verfügung. Endgültig entfernt werden sie, wenn du dein Konto löschst; mit der Deinstallation der App verschwinden sie unter Android. Auf iPhones behält das Betriebssystem verschlüsselte Schlüsselbund-Einträge nach dem Deinstallieren zunächst zurück; die App entfernt die Anmeldung, die zuletzt verwendeten Angaben und die Angaben abgemeldeter Konten, soweit sie im Verzeichnis der App stehen, beim ersten Start nach einer erneuten Installation. Dafür führt sie auf dem Gerät ein verschlüsseltes Verzeichnis dieser Konten (nur Kennungen, kein Inhalt; es verschwindet mit dem letzten Eintrag). Bis dahin bleiben die Angaben eines abgemeldeten Kontos verschlüsselt erhalten und werden zurückgespielt, sobald sich dieses Konto wieder anmeldet. Hast du dein Konto auf einem anderen Gerät gelöscht oder nutzt du es nicht mehr, bleiben die Angaben auf diesem Gerät bis zur Deinstallation (Android) bzw. (iPhone, soweit im Verzeichnis der App verzeichnet) bis zum ersten Start nach einer erneuten Installation bestehen. Im Datenexport (Abschnitt 7) sind sie enthalten, weil er auf deinem Gerät erstellt wird.

Ebenfalls nur auf deinem Gerät liegen deine Antworten aus dem Einstieg, solange du noch kein Konto hast (verschlüsselter Zwischenspeicher). Sobald du dich das erste Mal anmeldest, werden die dafür vorgesehenen Angaben in dein Profil übernommen und der Zwischenspeicher wird gelöscht. Brichst du den Einstieg ab und legst nie ein Konto an, verlassen die Antworten dein Gerät nicht.

3.21 Erinnerung an das Ende der Testphase (Mitteilung auf dem Gerät)

Wenn du ein Abo mit kostenloser Testphase startest, kann dich die App 24 Stunden vor Ablauf der Testphase an das nahende Ende erinnern, damit du rechtzeitig entscheiden kannst. Diese Mitteilung wird von deinem Gerät selbst geplant und dort ausgelöst — sie enthält nur einen festen, übersetzten Hinweistext ohne Namen, ohne Kennung und ohne Datum. Es ist kein Push-Dienst beteiligt: Es wird kein Push-Token erzeugt, nichts an Expo, Apple oder Google gesendet und nichts auf unseren Servern gespeichert (technisch anders als Abschnitt 3.17). Du kannst die Systemberechtigung für Mitteilungen jederzeit verweigern oder in den Geräteeinstellungen entziehen; die App funktioniert dann unverändert weiter, nur ohne Erinnerung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; das lokale Planen der Mitteilung ist für diesen von dir gewünschten Hinweis unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Speicherdauer: bis zur Zustellung, bis das Abo endet, bis du die Berechtigung entziehst — oder bis du dich abmeldest, das Konto wechselst oder dein Konto löschst: Dann storniert die App die geplante Mitteilung. Meldest du dich mit demselben Konto wieder an und läuft die Testphase noch, plant die App sie neu (anhand des Ablaufdatums der Testphase aus deinem Kaufstatus, Abschnitt 3.14).

3.22 KI-Verlauf und Veröffentlichung KI-generierter Rezepte (mit Einwilligung verknüpft, sonst anonym)

Zwei Fälle — je nachdem, ob du der Cloud-Bibliothek (3.5) zugestimmt hast.

• Ohne Einwilligung (wie bisher): Dein KI-Verlauf liegt nur auf deinem Gerät. Die Veröffentlichung geschieht anonym, ohne Verbindung zu deinem Konto — so, wie es in den folgenden Absätzen beschrieben ist.
• Mit Einwilligung: Unser Server legt jedes erfolgreich erzeugte KI-Rezept zunächst privat in deinem Konto an und verknüpft es mit deinem Konto (höchstens die neuesten 60; ältere werden entknüpft, und ein dann privates Rezept wird gelöscht). Anonym ist dann nur das veröffentlichte Rezept selbst, nicht die Verknüpfung (Abschnitt „KI-Verlauf mit Verknüpfung“ unten).

Wenn unser KI-System aus deinem Kühlschrank-Scan oder deiner Zutatenliste ein Rezept erzeugt, wird dieses Rezept — nach der automatischen Qualitäts- und Sicherheitsprüfung unten — anonym unter dem Autorennamen „KI generiert" in der Community veröffentlicht. Das gilt ohne Rücksicht darauf, ob du zu diesem Zeitpunkt Allergien, Unverträglichkeiten oder andere Ernährungspräferenzen angegeben hattest — solche Angaben beeinflussen zwar die Zutatenauswahl. Titel, Beschreibung und Zubereitungsschritte bleiben dabei bewusst neutral formuliert, ohne Allergie- oder „…frei"-Wortlaut (siehe „Sicherungen" unten); einzelne Zutatennamen können aber marktübliche Produktbezeichnungen wie „laktosefreie Milch" oder „glutenfreies Mehl" enthalten — das ist so gewollt und offenbart für sich genommen nichts über eine bestimmte Person, weil das veröffentlichte Rezept selbst mit keinem Konto verknüpft ist. Es gibt dafür keinen Schalter in der App; die Veröffentlichung erfolgt automatisch im Hintergrund, ohne dass du danach gefragt wirst.

Was veröffentlicht wird: Titel, Zutatenliste (Name, Menge, Einheit), Zubereitungsschritte, Dauer, Schwierigkeitsgrad, Portionen, Kategorie, grob geschätzte Nährwerte und das eigens für dieses Rezept erzeugte Bild (Abschnitt 3.6). Ohne dieses Bild wird ein Rezept nicht veröffentlicht — es gibt kein Ersatzbild. Was nie veröffentlicht wird: dein Name, deine Nutzerkennung, dein Kühlschrankinhalt als Ganzes, deine Einkaufsliste, sowie jede ausdrückliche Allergie-/Unverträglichkeits-Angabe oder sonstige Angabe zu dir oder deiner Familie — mit der einen, oben genannten Ausnahme marktüblicher Zutat-Produktnamen.

Sicherungen (bevor ein Rezept live geht):

• Ein fester Filter entfernt vor jeder Prüfung Rezepte mit bestimmten erkennbaren Mustern: Bezeichnungen wie „Mitglied 2", besitzanzeigende Bezüge wie „deine Tochter"/„unser Sohn", E-Mail-Adressen, Links, Telefonnummern, Hashtags sowie eine wörtliche Übernahme von vier oder mehr zusammenhängenden Wörtern aus deinem Wunschtext. Echte Personennamen erkennt dieser feste Filter nicht zuverlässig — dafür gibt es zusätzlich einen automatisierten KI-Prüfschritt (Kategorie „personenbezug"), der ebenfalls nur mit hoher, aber nicht hundertprozentiger Trefferquote arbeitet. Kein automatischer Mechanismus ist perfekt: Enthält ein bereits veröffentlichtes Rezept dennoch Angaben zu dir, melde es uns bitte über die Meldefunktion oder per E-Mail — wir prüfen und entfernen es (siehe unten „Kein Personenbezug mehr danach").
• Titel, Beschreibung und Zubereitungsschritte werden zusätzlich durch einen festen Filter und eine Vorgabe an das KI-Modell neutral gehalten: Allergie- oder Unverträglichkeits-Wortlaut — auch positiv formuliert wie „glutenfrei", „laktosefrei" oder „ohne Nüsse" — wird dort entfernt bzw. vom Modell gar nicht erst verwendet. Einzelne Zutatennamen sind davon bewusst ausgenommen: marktübliche Produktbezeichnungen wie „laktosefreie Milch" oder „glutenfreies Mehl" dürfen als Zutat erscheinen, weil sie für sich genommen — ohne Verknüpfung zu einem Konto — nichts über eine bestimmte Person offenbaren.
• Ein zweiter, KI-gestützter Prüfschritt (streng bei Sicherheit und bei der Sinnhaftigkeit, mild bei einfacher oder ungewöhnlicher Qualität) lehnt Rezepte mit rechtswidrigen, gefährlichen, diskriminierenden oder sonst unpassenden Inhalten ab sowie Rezepte, die kein stimmiges, sinnvoll zubereitbares Gericht oder Getränk ergeben. Er sieht auch die Beschreibung, aus der das Bild erzeugt wurde, und lehnt ab, wenn sie ein anderes Gericht zeigt.
• Die Bildbeschreibung läuft durch denselben festen Filter wie der Rezepttext (persönliche Bezüge, Allergie-Wortlaut, Kontaktdaten, Übernahme aus deinem Wunschtext); schlägt er an, wird das Rezept nicht veröffentlicht (das Bild bleibt dann nur auf deinem Gerät).
• Gespeichert wird das Bild erst nach bestandener Prüfung, unter einem zufälligen Dateinamen ohne Nutzerkennung. Wird das Rezept danach doch nicht veröffentlicht (z. B. weil es den Titel schon gibt), löschen wir das Bild sofort wieder.
• Ein technischer Zähler begrenzt, wie viele Rezepte pro Nutzer und insgesamt pro Tag veröffentlicht werden können; dieser Zähler wird als nicht zurückrechenbarer Hash gespeichert und nach höchstens 24 Stunden automatisch gelöscht (wie die Sicherheits-Logs in Abschnitt 3.3).

Entfernen veröffentlichter Rezepte und Bilder: Lehnen wir ein veröffentlichtes Rezept ab oder löschen wir es (z. B. nach einer Meldung, siehe 3.24), entfernen wir auch sein Bild aus unserem Speicher. Ein Rezept, das gemeldet, aber noch nicht entschieden ist, behält sein Bild bis zur Entscheidung, damit wir es bei einer unbegründeten Meldung wieder freigeben können. Das Entfernen übernimmt ein Aufräum-Verfahren (Art. 5 Abs. 1 lit. e DSGVO): Es sucht Bilder, auf die kein nicht abgelehntes Rezept mehr zeigt (Schonfrist 1 Stunde, damit eine laufende Veröffentlichung nie gestört wird), und löscht höchstens 200 Dateien je Lauf; es fängt auch Reste abgebrochener Veröffentlichungen ab. Es läuft täglich automatisch.

KI-Verlauf mit Verknüpfung (nur mit Einwilligung in die Cloud-Bibliothek). Gespeichert wird das Rezept ohne Bild — Titel, Beschreibung, Zutaten, Schritte, Dauer, Schwierigkeit, Portionen, Kategorie, Nährwerte und die Herkunft (Scan oder Zutatenliste) —, dazu die Verknüpfung mit deinem Konto und der Tag der Anlage. Dein Wunschtext und dein Kühlschrankinhalt werden nicht mitgespeichert; der Rezepttext selbst kann aber Bezüge enthalten, die das Modell aus deinen Angaben übernommen hat. Veröffentlicht wird danach — wie bisher — nur nach der automatischen Prüfung (siehe „Sicherungen“) und mit dem eigens erzeugten Bild, ohne Namen; die Verknüpfung bleibt auf dem Server bestehen und ist im veröffentlichten Rezept nicht sichtbar. Dein Widerspruch (siehe unten) stoppt die Veröffentlichung auch für verknüpfte Rezepte.

• „Aus Verlauf entfernen“ löst die Verknüpfung. Ein privates Rezept wird dabei gelöscht. Ist es schon veröffentlicht, bleibt es ohne Verbindung zu deinem Konto in Entdecken; die App fragt dich vorher.
• „Aus Entdecken zurückziehen“ macht ein veröffentlichtes KI-Rezept wieder privat (Veröffentlichung und öffentliches Bild entfallen); es bleibt mit deinem Konto verknüpft in deinem Verlauf.
• Obergrenze 60: Kommt ein neues Rezept hinzu, wird das älteste entknüpft; ist es privat, wird es gelöscht, ist es veröffentlicht, bleibt es ohne Verbindung zu deinem Konto bestehen.
• Widerruf und Kontolöschung: Die Verknüpfungen werden gelöscht, private KI-Rezepte mit ihnen; veröffentlichte bleiben ohne Verbindung zu deinem Konto.

Auswirkung auf „nicht mehr zuordenbar“: Die Aussagen unter „Kein Personenbezug mehr danach (Art. 11 DSGVO)“ gelten nur für Rezepte ohne Verknüpfung. Solange ein Rezept mit deinem Konto verknüpft ist, können wir es dir zuordnen: Es ist in deinem Datenexport enthalten (Abschnitt 7), und deine Rechte auf Auskunft, Löschung und Widerspruch (Art. 15, 17, 21 DSGVO) gelten dafür. Für die Verknüpfung und das private Speichern stützen wir uns auf deine Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO, vorsorglich); die Veröffentlichung selbst bleibt bei Art. 6 Abs. 1 lit. f DSGVO (siehe unten).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Wir stützen die Veröffentlichung nicht auf deine Einwilligung oder deinen Vertrag zur Rezeptgenerierung (Art. 6 Abs. 1 lit. b) — diese decken nur das Erzeugen des Rezepts für dich, nicht seine Veröffentlichung für alle (vgl. EuGH, Rechtssache C-252/21 – Meta Platforms u. a./Bundeskartellamt). Die Abwägung nach Art. 6 Abs. 4 DSGVO — die Umwandlung eines für dich erzeugten Rezepts in ein anonymes Community-Rezept ist mit dem ursprünglichen Erzeugungszweck vereinbar, weil dabei keine Daten über dich offengelegt werden — haben wir schriftlich dokumentiert und stellen sie dir auf Anfrage unter support@gusti.biz zur Verfügung. Diese Rechtsgrundlage trägt nur, solange die Sicherungen oben zuverlässig arbeiten: Art. 9 DSGVO ist eine abschließende Ausnahmeliste, keine Abwägungsfrage — sollte in Titel, Beschreibung oder Zubereitungsschritten dennoch ein erkennbarer Gesundheitsbezug erscheinen (z. B. weil der feste Filter oder die Modellvorgabe versagt) oder sollte ein Rezept trotz der Sicherungen tatsächlich einer bestimmten Person zuordenbar werden, wäre genau diese einzelne Veröffentlichung unabhängig von Drossel, Prüfung oder Transparenz unrechtmäßig. Marktübliche Zutat-Produktnamen wie „laktosefreie Milch" fallen nicht darunter: Sie offenbaren für sich genommen — ohne Verknüpfung zu einem Konto — nichts über eine bestimmte Person und sind daher kein Filterversagen im Sinne dieses Absatzes. Die Sicherungen oben senken das Risiko eines echten Filterversagens, sie können ein tatsächliches Versagen im Einzelfall aber nicht heilen.

Ist das noch „meine" Verarbeitung, wenn das Ergebnis anonym ist? Ja: Der Schritt, in dem wir dein KI-Rezept von dir lösen und veröffentlichen, ist selbst eine Verarbeitung personenbezogener Daten — auch wenn am Ende ein anonymes Rezept steht (Art. 4 Nr. 1, Erwägungsgrund 26 DSGVO; EuGH, Urt. v. 04.09.2025, C-413/23 P – EDSB/SRB). Deshalb informieren wir dich hier ausdrücklich darüber, statt die Veröffentlichung als „anonym, also unreguliert" zu behandeln.

Kein Personenbezug mehr danach (Art. 11 DSGVO) — nur für Rezepte ohne Verknüpfung: Ist ein Rezept einmal veröffentlicht, können auch wir es nach Ablauf von höchstens 24 Stunden — mit der Einschränkung für die Dauer der Server-Protokolle, die gleich unten steht — nicht mehr zu dir zurückverfolgen: Weder dein Kühlschrankinhalt noch dein Konto sind mit dem veröffentlichten Rezept verknüpft. Für diese bis zu 24 Stunden existiert ein rein technischer Drossel-Zähler (ein nicht umkehrbarer HMAC-Hash deiner Konto-ID, ohne Verknüpfung zum Rezeptinhalt selbst, s. „Sicherungen" oben) — er zählt nur, wie viele Rezepte in diesem Zeitraum veröffentlicht wurden, und würde uns theoretisch erlauben, diese Anzahl mit deinem Konto in Verbindung zu bringen, nicht aber, welches konkrete Rezept dahintersteht. Er wird danach automatisch gelöscht. Einschränkung, ehrlich benannt: Das Bild eines veröffentlichten Rezepts trägt technisch den genauen Zeitpunkt, zu dem es gespeichert wurde (sichtbar für jeden, der das Bild abruft). Unser Hoster Supabase protokolliert außerdem Aufrufe unserer Server-Funktionen (darin kann die Kennung des aufrufenden Kontos stehen) und Zugriffe auf den Speicher (mit dem Dateinamen des Bildes). Solange diese Protokolle existieren (bei Supabase je nach Tarif zwischen einem und mehreren Tagen, [AUFBEWAHRUNG DER SUPABASE-PROTOKOLLE IM DASHBOARD BESTÄTIGEN]), ließe sich ein veröffentlichtes Rezept darüber theoretisch einem Aufruf und damit einem Konto zuordnen. Wir werten die Protokolle dafür nicht aus; sie dienen nur dem Betrieb und der Fehlersuche und werden danach automatisch gelöscht. Veröffentlichte KI-Rezepte ohne Verknüpfung erscheinen deshalb nicht in deinem Datenexport (Abschnitt 7) und werden bei einer Kontolöschung nicht berührt — nach Ablauf des Drossel-Zählers und dieser Protokolle gibt es nichts mehr, das wir dir zuordnen könnten. Meldest du uns ein konkretes, dir bekanntes veröffentlichtes Rezept (z. B. weil es doch einen Bezug zu dir erkennen lässt), prüfen und entfernen wir es über das Verfahren der IP-Policy.

Dein Widerspruchsrecht (Art. 21 Abs. 1, Abs. 4 DSGVO). Du kannst der künftigen Veröffentlichung deiner KI-generierten Rezepte jederzeit und ohne Begründung mit Wirkung für die Zukunft widersprechen — auch wenn es dafür (noch) keinen Schalter in der App gibt. Schreib uns dazu einfach an support@gusti.biz. Ab dem Widerspruch veröffentlichen wir keine deiner künftigen KI-Rezepte mehr automatisch; bereits veröffentlichte Rezepte bleiben davon unberührt, weil sie dir — wie oben beschrieben — technisch nicht mehr zugeordnet werden können. Hast du der Cloud-Bibliothek zugestimmt, kannst du ein mit deinem Konto verknüpftes veröffentlichtes Rezept selbst aus Entdecken zurückziehen (siehe „KI-Verlauf mit Verknüpfung“).

Automatisierte Entscheidung ohne rechtliche Wirkung: Der Prüfschritt entscheidet automatisiert über „veröffentlichen" oder „nicht veröffentlichen". Das ist keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung für dich im Sinne von Art. 22 DSGVO — im schlechtesten Fall wird ein Rezept nicht veröffentlicht, das ohnehin niemand zu dir zurückverfolgen könnte.

Kennzeichnung (Art. 50 Abs. 2 KI-VO): Jedes KI-Rezept — erzeugte Vorschläge im Verlauf, veröffentlichte KI-Rezepte und die vorab erzeugten Katalog-Rezepte — trägt sichtbar das Kennzeichen „KI-generiert“ (auf der Karte und in der Rezeptansicht); bei veröffentlichten Rezepten steht außerdem der Autorenname „KI generiert“. Maschinenlesbar ist es über das Datenbankfeld is_ai_generated, das für diese Rezepte auf „wahr“ steht; bei den bereits vorhandenen Katalog-Rezepten setzen wir es rückwirkend. Bei Bildern lassen wir die vom Bilddienst eingebetteten Herkunftsangaben (Metadaten) unverändert im Bild. [UNSICHER: ob ein Datenbankfeld als „maschinenlesbares Format“ genügt, wie die Pflicht bei kurzen Texten zu erfüllen ist und ob die Frist für Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden, für uns gilt — Recherche A25, U7]

3.23 Verbindungsdaten und Server-Protokolle

Bei jeder Verbindung zwischen der App und unseren Servern fallen technisch Verbindungsdaten an — auch wenn du nicht angemeldet bist: beim Start der App (Abfrage, ob eine Mindestversion erforderlich ist; sie überträgt nur den für alle Installationen gleichen öffentlichen Schlüssel unseres Projekts, keine Kennung und keine Gerätedaten), bei Registrierung und Anmeldung, beim Laden von Bildern aus unserem Speicher und bei jedem Aufruf unserer Server-Funktionen (KI-Funktionen, Familien-Funktionen, Abo-Abfrage, Datenexport, Kontolöschung). Unser Hoster Supabase (Datenbank, Server-Funktionen, Speicher) verarbeitet dabei in seinen Betriebs-Protokollen insbesondere die IP-Adresse deines Geräts, den Zeitpunkt, die aufgerufene Adresse bzw. Funktion, Größe und Statuscode der Antwort sowie technische Angaben, die die Netzwerkbibliothek jeder Anfrage mitgibt (z. B. Betriebssystem); bei angemeldeten Aufrufen kann die Konto-Kennung aus dem Zugangs-Token in den Protokollen stehen. Entsprechendes gilt für Dienstleister, deren Bausteine die App direkt anspricht: RevenueCat (3.14) und hCaptcha (3.3) sowie die Stores von Apple und Google (jeweils mit eigenen Datenschutzhinweisen).

Zweck und Rechtsgrundlage: Betrieb, Sicherheit und Fehlersuche der App sowie Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren, stabilen Dienst). Ohne diese Daten kann technisch keine Verbindung hergestellt werden. Wir werten die Protokolle nicht aus, um dich zu profilieren, und erstellen daraus keine Nutzungsstatistiken.

Was wir selbst protokollieren: Unsere Server-Funktionen schreiben nur technische Zähler und Fehlermeldungen ohne Inhalte — keine Rezepte, Chat-Nachrichten, Passwörter, Fotos oder Adressen eingeladener Personen. IP-Adressen schreiben wir nicht in diese Protokolle; für die Drosselung (3.3) speichern wir sie nur als nicht zurückrechenbaren Hash (höchstens 24 Stunden). E-Mail-Adressen schreiben wir nicht absichtlich hinein; beim Versand von System-E-Mails vermerken wir die Empfängeradresse nur maskiert. Ausnahme bei Fehlern: Lehnt der Anmelde- oder Maildienst eine Anfrage ab, protokollieren wir seine Fehlermeldung (bei der Registrierung die ersten 300 Zeichen, bei der Mailjet-Anbindung — nur wenn sie eingeschaltet ist, siehe 3.1 — ungekürzt); solche Meldungen können die E-Mail-Adresse enthalten, um die es ging. [PRÜFEN: Code — nur Status- und Fehlercode protokollieren (auth-signup, send-email-hook), dann diese Ausnahme streichen; gegen den Live-Dienst nicht geprüft.] In seltenen Fehlerfällen (z. B. bei einer fehlgeschlagenen Kontolöschung) kann außerdem die technische Konto-Kennung in einer Fehlermeldung stehen.

Speicherdauer und Zugriff: Die Betriebs-Protokolle liegen beim Hoster und werden dort nach dessen Aufbewahrungsfrist automatisch gelöscht (je nach Tarif zwischen einem und mehreren Tagen [PRÜFEN: Aufbewahrungsdauer der Protokolle im Supabase-Dashboard bestätigen]). Zugriff haben nur wir als Betreiber und der Hoster. Empfänger und Drittland: siehe Abschnitte 4 und 5.

3.24 Rezepte melden, Autoren blockieren, Moderation

Melden: In der Rezeptansicht kannst du ein Rezept melden (Grund aus einer festen Auswahl, z. B. unangemessen, Spam, Urheberrecht, gefährlich, sonstiges). Wir speichern bei Supabase die Kennung des Rezepts, deine Konto-Kennung, den gewählten Grund, den Bearbeitungsstatus und den Zeitpunkt. Du kannst eine Begründung (bis 1.000 Zeichen) angeben und bestätigst, dass deine Angaben nach bestem Wissen richtig und vollständig sind (Art. 16 Abs. 2 DSA). Je Rezept ist eine Meldung pro Person möglich. Du erhältst eine Eingangsbestätigung und später unsere Entscheidung mit dem Hinweis auf mögliche Rechtsbehelfe im Postfach (3.16; Art. 16 Abs. 4 und 5 DSA). Ab fünf offenen Meldungen verschiedener Personen nimmt das System ein Rezept als Zwischenmaßnahme automatisch aus dem öffentlichen Feed, bis wir entschieden haben; die Entscheidung über Entfernen oder Belassen trifft bei Meldungen ein Mensch (siehe AGB Ziffer 10 und IP-Policy).

Wer sieht deine Meldung: Wir als Betreiber (den Bearbeitungsstatus pflegen wir im Dashboard); andere Nutzer können deine Meldungen nicht einsehen und erhalten deine Konto-Kennung nicht; eine eigene Ansicht deiner Meldungen gibt es in der App nicht, du erhältst sie über deinen Datenexport (Abschnitt 7). Dem betroffenen Autor teilen wir nach Art. 17 Abs. 3 DSA die Tatsachen und Umstände der Entscheidung mit; den Melder nennen wir dabei nur, wenn es unbedingt notwendig ist (Art. 17 Abs. 3 lit. b DSA). Den Wortlaut dieser Mitteilungen geben feste Vorlagen vor. Meldung per E-Mail: Schickst du eine Meldung per E-Mail (IP-Policy), verarbeiten wir deine Angaben dazu (Begründung, Fundstelle, Name, E-Mail-Adresse, Erklärung der Gutgläubigkeit), um sie zu bearbeiten, dir zu antworten und die Entscheidung zu dokumentieren.

Moderationsentscheidungen: Wird ein Inhalt entfernt oder ein Konto eingeschränkt, informieren wir die betroffene Person mit Begründung (Art. 17 DSA, IP-Policy), bei angemeldeten Nutzern über das Postfach (3.16): die Tatsachen, ob automatisch oder durch einen Menschen entschieden wurde, den Grund (Ziffer der AGB oder Rechtswidrigkeit) und die Rechtsbehelfe. Du kannst der Entscheidung begründet widersprechen (support@gusti.biz); ein Mensch prüft dann erneut. Bei einem veröffentlichten eigenen Rezept liegt der Inhalt nach einer Ablehnung wieder privat in deiner Bibliothek (3.5). Gespeichert wird der Moderationsstatus des Rezepts (z. B. freigegeben, markiert, abgelehnt); einen Personenbezug gibt es, wenn ein Konto die Urheberin oder der Urheber ist. Zusätzlich speichern wir nach einer Ablehnung eine Sperre (Fingerabdrücke von Text und Foto, ohne Klartext) und die Prüfpflicht für das Konto (3.5).

Blockieren: Du kannst in der App einen Autor blockieren. Wir speichern bei Supabase deine Konto-Kennung, die Kennung der blockierten Person und den Zeitpunkt. Die Rezepte der blockierten Person verschwinden serverseitig aus deinem Feed; nur du siehst deine Blockierliste, die blockierte Person kann sie nicht einsehen. Du kannst die Blockierung jederzeit aufheben.

Rechtsgrundlage: Meldungen: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Community und der Rechte Dritter, geordneter Meldeweg), soweit Art. 16 DSA (Melde- und Abhilfeverfahren) für uns gilt, bei Meldungen rechtswidriger Inhalte zusätzlich lit. c i. V. m. Art. 16 DSA: Mit der Cloud-Bibliothek und der Veröffentlichung eigener Rezepte speichern Nutzer Inhalte bei uns (Hostingdienst, Art. 3 lit. g Ziff. iii DSA), und Hostingdienste müssen das Melde- und Abhilfeverfahren einrichten (Art. 16 Abs. 1 DSA); für Meldungen, die nur gegen unsere AGB verstoßen, bleibt lit. f die Grundlage [UNSICHER: Einordnung von „Entdecken“ als Online-Plattform — Recherche A25, U6]; Blockieren: Art. 6 Abs. 1 lit. b DSGVO (von dir gewünschte Funktion). Speicherdauer: Meldungen und Blockierungen bleiben bis zur Löschung des betroffenen Rezepts bzw. deines Kontos und werden dann mit gelöscht; eine feste Höchstfrist für erledigte Meldungen gibt es derzeit nicht [PRÜFEN: Frist für erledigte Meldungen festlegen — Dokumentationspflichten nach dem DSA gegen Datenminimierung abwägen]. Beides ist in deinem Datenexport (Abschnitt 7) enthalten. Empfänger: Supabase (Abschnitt 4); keine Weitergabe an andere Nutzer.

4. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein. Daneben übermitteln wir Daten an eigenständig Verantwortliche: Google und Apple für die Anmeldung, Apple (App Store) und Google (Google Play) für die Kaufabwicklung — diese Zeilen sind in der Tabelle gekennzeichnet. Einzelheiten zu den Verträgen mit unseren Dienstleistern erhältst du auf Anfrage unter support@gusti.biz.

Dienstleister	Zweck	Sitz / Region	Transfer-Garantie
Supabase (Vertragspartner: Supabase Pte. Ltd., Singapur)	Konten, Datenbank (u. a. Profil-, Familien-, ggf. Allergie-Daten; Rezeptwünsche und in der Familie geteilte importierte Rezepte, 3.7a; Familien-Abo-Plätze, Einladungen und Postausgang, 3.14a; serverseitiger Abo-Status, 3.14; anonyme KI-Community-Rezepte ohne Personenbezug; Widerspruchsliste ai_publish_objections; Meldungen und Blockierlisten, 3.24; Cloud-Bibliothek, veröffentlichte eigene Rezepte, Sperren und Prüfpflicht, 3.5; KI-Verlauf mit Verknüpfung, 3.22), Server-Funktionen, Speicher (u. a. private Rezeptfotos und öffentliche Fotos veröffentlichter Rezepte, 3.5; Bilder anonym veröffentlichter KI-Rezepte ohne Kontobezug, 3.22)	Hosting nach unseren Angaben EU-Region Frankfurt [REGION IM DASHBOARD BESTÄTIGEN]; Server-Funktionen nach unserem Stand nicht auf die EU festgelegt; Zugriff aus Singapur und aus den VAE möglich (Abschnitt 5)	vorgesehen: SCC im AVV [UNSICHER: Passung und Abschluss, Gate 29]
OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.)	KI-Chat, Rezeptgenerierung, Textprüfung, Qualitätsprüfung vor Community-Veröffentlichung und vor dem Veröffentlichen eigener Rezepte	Irland/USA	SCC; kein Training mit Inhalten; Retention ≤ 30 Tage
Google (Google Ireland Ltd. / Google LLC) — Gemini API	KI-Bilderkennung (Scan-/Prüf-Fotos, auch die Prüfung eigener Rezeptfotos vor dem Veröffentlichen, nur vorübergehend) und KI-Bildgenerierung der Rezeptbilder	Irland/USA	EU-US DPF; SCC ergänzend; kein Training mit Inhalten (Paid Tier)
RevenueCat, Inc.	Abo-Status, Kaufbeleg-Validierung; serverseitige Abfrage des Abo-Status (3.14, 3.14a)	USA	SCC (AVV: revenuecat.com/dpa)
Mailjet (Sinch-Gruppe, Mailjet SAS)	Versand der Anmelde-/System-E-Mails [PRÜFEN: tatsächlicher Versanddienst, siehe 3.1]	EU (Frankreich)	AVV; SCC + EU-US DPF innerhalb der Sinch-Gruppe
Have I Been Pwned (Troy Hunt), ausgeliefert über Cloudflare, Inc.	Prüfung auf bekannt gewordene Passwörter (nur die ersten 5 Zeichen eines Hashes, ohne Nutzerbezug; Abruf von unserem Server, 3.3)	weltweit (Cloudflare)	kein Personenbezug im übermittelten Wert [PRÜFEN: ob eine Vereinbarung nötig ist]
[MAILDIENST – B3]	Versand der Einladungs-Mails zum Familien-Abo (3.14a) — Anbieter noch nicht entschieden; derzeit ist keiner angebunden und es werden keine Einladungs-Mails versendet [PRÜFEN: ob derselbe Anbieter wie Mailjet]	[REGION UND SITZ NACH AUSWAHL]	[AVV UND TRANSFER-GARANTIE NACH AUSWAHL]
Google Ireland/LLC	Anmeldung mit Google — eigenständig verantwortlich (3.2)	Irland/USA	EU-US DPF
Apple Distribution International Ltd. (Irland)	Anmeldung mit Apple (nur iPhone) und Trennung der Apple-Verbindung bei Kontolöschung — eigenständig verantwortlich (3.2)	Irland; Apple-Konzern USA	Apple stützt Übermittlungen in die USA nach eigenen Angaben auf Standardvertragsklauseln
Intuition Machines, Inc. (hCaptcha)	Bot-/Missbrauchsschutz bei Anmeldung/Registrierung/Passwort-Reset und beim Platz-Austausch im Familien-Abo	USA	EU-US DPF + SCC
Expo (650 Industries, Inc.)	App-Build-Infrastruktur	USA	EU-US DPF + SCC
Functional Software, Inc. (Sentry)	Absturz-/Fehlerdiagnose (Events in EU-Region Frankfurt; Konto-/Supportdaten USA)	EU/USA	EU-US DPF + SCC
Apple Distribution International Ltd. (Irland)	Kaufabwicklung In-App-Käufe — eigenständig verantwortlich (3.14)	Irland; Apple-Konzern USA	Apple stützt Übermittlungen in die USA nach eigenen Angaben auf Standardvertragsklauseln

5. Drittlandübermittlungen

Unser Unternehmenssitz liegt in den Vereinigten Arabischen Emiraten, unser Hosting-Dienstleister ist die Supabase Pte. Ltd. mit Sitz in Singapur. Datenbank und Dateispeicher liegen nach unseren Angaben in der EU (Region Frankfurt) [REGION IM DASHBOARD BESTÄTIGEN]; die Server-Funktionen sind nach unserem Stand nicht auf die EU festgelegt und können in einer anderen Region laufen. Als Verantwortlicher greifen wir aus den VAE auf die Daten zu, und Supabase kann aus Singapur und weiteren Ländern zugreifen (Support, Wartung). Das sind Übermittlungen in Drittländer: Für die VAE und Singapur gibt es keinen Angemessenheitsbeschluss der EU-Kommission (Stand der Prüfung: 18.10.2026). Als Garantie sind die Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Supabase vorgesehen [UNSICHER: ob dieses Instrument für unsere Konstellation passt — die Standardvertragsklauseln 2021/914 sind für Empfänger gedacht, die nicht selbst der DSGVO unterliegen — und ob der Vertrag abgeschlossen ist; Recherche A25, U11; Gate 29]. Wir wenden die DSGVO dabei in vollem Umfang an (Art. 3 Abs. 2 DSGVO) und sichern Zugriffe durch technische und organisatorische Maßnahmen ab (die Übersicht dieser Maßnahmen erhältst du auf Anfrage unter support@gusti.biz).

Soweit Daten in die USA oder andere Drittländer übermittelt werden (insbesondere OpenAI, RevenueCat, Google, hCaptcha, Expo, Sentry, Apple, Have I Been Pwned/Cloudflare (nur 5 Hash-Zeichen) sowie Support-/Wartungszugriffe der Supabase-Gruppe [Singapur/USA] und der Sinch-Gruppe [Mailjet] sowie — nach Auswahl — der Maildienst für die Einladungs-Mails zum Familien-Abo [MAILDIENST – B3] — Details in der Tabelle in Abschnitt 4), stützen wir dies gemäß Art. 44 ff. DSGVO auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (soweit der Empfänger zertifiziert ist) und/oder auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Den aktuellen Status je Dienstleister führen wir intern und teilen ihn dir auf Anfrage unter support@gusti.biz mit.

6. Speicherdauer

Maßgeblich sind die Fristen in den einzelnen Abschnitten oben; unsere ausführliche Übersicht der Aufbewahrungsfristen erhältst du auf Anfrage unter support@gusti.biz. Kurzfassung: Kontodaten bis zur Löschung (zzgl. bis zu 30 Tage Backup-Auslauf); Sicherheits-Logs max. 24 Stunden; „Schon gesehen" bis zur Kontolöschung/Widerspruch; Personalisierungs-Daten max. 12 Monate; Einwilligungsnachweise bis zum Ende des dritten Kalenderjahres nach dem Jahr des Widerrufs (bei Kontolöschung sofort; gilt ab Anwendung von Migration 51, Gate 27); Kühlschrank-Fotos sofort/spätestens 24 Stunden; erkannte Zutatenlisten, private Einkaufsliste und Vorrat bis zur Löschung durch dich bzw. Kontolöschung; Allergie-Angaben bis zum Widerruf der Einwilligung (unverzügliche Löschung) bzw. bis zur Kontolöschung; Einstiegs-Angaben zu Nutzungsgrund/Kanal bis zur Kontolöschung oder bis zu deinem Widerspruch; ausschließlich lokal gespeicherte Angaben (Abschnitt 3.20) bis zur Löschung der App bzw. des Kontos. Anonyme KI-Community-Rezepte (Abschnitt 3.22) bleiben samt ihrem Bild dauerhaft gespeichert, weil sie nicht mehr zuordenbar sind (Einschränkung zu den Server-Protokollen in Abschnitt 3.22); die dafür genutzten Drossel-Zähler werden nach max. 24 Stunden gelöscht. Bilder nicht veröffentlichter KI-Rezepte speichern wir auf dem Server nicht (Abschnitt 3.6). Rezeptwünsche und in der Familie geteilte importierte Rezepte (Abschnitt 3.7a) bis zum Entfernen des Wunsches, bis zum Austritt bzw. zur Entfernung des teilenden Mitglieds aus der Familie, bis es den Import auf seinem Gerät löscht, bis zur Kontolöschung oder bis zur Auflösung der Familiengruppe. Cloud-Bibliothek (Abschnitt 3.5): bis zum Widerruf der Einwilligung (dann löschen wir sie auf dem Server) bzw. bis zur Kontolöschung, höchstens 500 Rezepte, 2.000 gemerkte Rezepte und 2.000 Löschmarken je Konto; Löschmarken 90 Tage; Aktionsprotokoll 7 Tage; nach einem Widerruf bleibt das Aktionsprotokoll noch bis zu 7 Tage und der Zähler der Bibliothek bis zur Kontolöschung; KI-Verlauf höchstens die neuesten 60 Einträge (ältere werden entknüpft, private dann gelöscht, Abschnitt 3.22); Fotos ohne Rezept frühestens nach 24 Stunden aufgeräumt. Veröffentlichte eigene Rezepte bis zum Zurückziehen bzw. Löschen; bei Kontolöschung nach deiner Wahl ohne deinen Namen und ohne Verbindung zu deinem Konto behalten oder mitgelöscht; die Zuordnung deines Kontos zum veröffentlichten Rezept bis das Rezept oder das Konto gelöscht wird (sie bleibt auch nach einem Widerruf der Einwilligung bestehen); Prüfpflicht für dein Konto wirkt 90 Tage nach einer Ablehnung, der Vermerk bleibt bis zur Kontolöschung; Sperren aus Fingerabdrücken (Hashes) ohne Personenbezug unbefristet [UNSICHER: Recherche A25, U8]; Sicherungskopien des Hosters laufen nach dessen Frist aus [PRÜFEN: Dauer im Supabase-Dashboard bestätigen]. Familien-Abo (Abschnitt 3.14a): Adressen eingeladener Personen höchstens 14 Tage (nach Annahme sofort gelöscht); Plan und Plätze: Schließung 30 Tage nach Ablauf des Abos des Zahlers bzw. bis zu dessen Kontolöschung geschlossen (Plätze und Adressen dann geleert; der geschlossene Plan-Datensatz wird 30 Tage nach der Schließung endgültig gelöscht, siehe 3.14a); Postausgang-Einträge ohne Adresse 14 Tage (bei fehlgeschlagenem Versand 30 Tage); Sperrzeitpunkt eines Platzes 90 Tage ab Annahme (geht mit dem Plan-Datensatz verloren); serverseitiger Abo-Status (Abschnitt 3.14) bis zur Kontolöschung. Server-Protokolle beim Hoster (Abschnitt 3.23) nach dessen Aufbewahrungsfrist; Meldungen und Blockierlisten (Abschnitt 3.24) bis zur Löschung des Rezepts bzw. des Kontos. Löschanfragen per E-Mail samt unserer Bestätigung (Abschnitt 7) bis zum Ende des dritten Kalenderjahres nach dem Jahr, in dem wir die Löschung abgeschlossen haben (Löschung 2026: bis 31.12.2029), danach löschen wir sie — das deckt die regelmäßige Verjährungsfrist von drei Jahren ab, die mit dem Schluss des Jahres beginnt (§§ 195, 199 Abs. 1 BGB), und dient dem Nachweis nach Art. 5 Abs. 2 DSGVO [UNSICHER: ob Art. 6 Abs. 1 lit. f DSGVO die Aufbewahrung nach einem Löschverlangen trägt und ob drei Jahre verhältnismäßig sind; Verjährung von Ansprüchen nach Art. 82 DSGVO nicht belegt — Recherche A25, U17].

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3) — die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Den Widerspruch gegen die Einstiegs-Angaben (Nutzungsgrund und Kanal, Abschnitt 3.19) sowie den Widerspruch gegen die anonyme Veröffentlichung deiner KI-generierten Rezepte (Abschnitt 3.22) erklärst du jeweils per E-Mail an support@gusti.biz; eine Schaltfläche dafür gibt es in der App derzeit nicht.

In der App findest du dafür unter „Datenschutz & Daten": Widerruf/Erteilung der Einwilligungen (1 Tap, auch für die Cloud-Bibliothek), Widerspruch gegen die „Schon gesehen"-Funktion, Datenexport (Art. 15/20, als PDF zum Lesen und als JSON; er enthält auch deine Konto-E-Mail-Adresse, deine Anmelde-Methoden — E-Mail, Google, Apple — mit Anmeldezeitpunkten, das Anlagedatum deines Kontos, den bei der E-Mail-Registrierung gewählten Benutzernamen, den Namen und — sofern vorhanden — die Adresse eines Profilbilds, die Google oder Apple bei der Anmeldung übermittelt haben, sowie deine Rezeptmeldungen und deine Blockierliste (3.24) und — wenn du die Cloud-Bibliothek eingeschaltet hast — deine Bibliothek, deine gemerkten Rezepte und deinen KI-Verlauf mit der Verknüpfung zu deinem Konto, deine veröffentlichten Rezepte samt Veröffentlichungs-Erklärungen, die technischen Einträge dazu (Löschmarken, Zähler, Aktionsprotokoll, Zuordnung, Prüfpflicht) und eventuelle Moderationssperren zu deinen Veröffentlichungen mit Status, Grund und Entscheidungsdatum (3.5, 3.22). Nicht in der Datei enthalten sind Passwort und Anmelde-Token sowie derzeit die technische Kennung deines Google- oder Apple-Kontos beim jeweiligen Anbieter; diese Kennung kannst du nach Art. 15 DSGVO per E-Mail an support@gusti.biz anfordern. Die Export-Datei: Die App erstellt den Export auf deinem Gerät und legt ihn für das Teilen unverschlüsselt im Zwischenspeicher der App ab. Sie löscht die Dateien sofort, wenn das Teilen nicht möglich war oder fehlschlug, sonst 10 Minuten nach dem Schließen des Teilen-Fensters, und räumt Reste beim Start der App, beim An- und Abmelden und bei der Kontolöschung weg. Was du an eine andere App weitergibst (z. B. ein E-Mail-Programm), liegt dort in deiner Verantwortung), Chatverlauf löschen und Konto löschen (Löschung aller personenbezogenen Daten inkl. Server- und Speicherdaten; bei Anmeldung mit Apple einschließlich Trennung von deinem Apple-Account, siehe 3.2; Familien-Listeneinträge werden anonymisiert, siehe 3.7; in der Familie geteilte importierte Rezepte und deine Wünsche werden gelöscht, siehe 3.7a; Familien-Abo: als Zahler wird dein Plan geschlossen und alle Adressen werden entfernt (der geschlossene Plan-Datensatz verliert den Bezug zu deinem Konto und wird 30 Tage später gelöscht; Rezeptmeldungen und Blockierlisten werden gelöscht, siehe 3.24), als Mitglied wird dein Platz frei, siehe 3.14a; Cloud-Bibliothek, Merkliste, Löschmarken, private Fotos und die Verknüpfung deines KI-Verlaufs werden gelöscht, veröffentlichte eigene Rezepte behalten wir nach deiner Wahl ohne deinen Namen und ohne Verbindung zu deinem Konto (Standard) oder löschen sie mit; Rezepte, die gerade auf unsere Prüfung warten oder nach Meldungen ausgeblendet sind, löschen wir dabei immer mit, siehe 3.5 — ohne Cloud-Bibliothek liegen eigene Rezepte nur lokal auf deinem Gerät). Du kannst deine Rechte auch per E-Mail an support@gusti.biz oder über unseren EU-Vertreter (Abschnitt 1) geltend machen. Konto löschen per E-Mail: Löschst du dein Konto per E-Mail statt in der App, gilt für veröffentlichte eigene Rezepte derselbe Standard (3.5): Wir behalten sie ohne deinen Namen und ohne Verbindung zu deinem Konto und löschen sie nur mit, wenn du das in die E-Mail schreibst; Rezepte in Prüfung oder ausgeblendet löschen wir immer mit. Hast du dich mit Apple angemeldet, löschen wir bei einer Löschung per E-Mail die Daten deines Kontos bei uns (bis auf den Löschnachweis, siehe unten), trennen aber die Verbindung „Mit Apple anmelden“ nicht — dafür braucht Apple einen Einmal-Code, den nur die App erzeugt (3.2). Diese Verknüpfung entfernst du zusätzlich selbst: auf dem iPhone unter Einstellungen → [dein Name] → „Mit Apple anmelden“ → Gusti auswählen → „Löschen“ (Anleitung von Apple: Apps über „Mit Apple anmelden“ verwalten); darauf weisen wir dich in unserer Bestätigung hin. Nachweis der Löschung: Deine Löschanfrage und unsere Bestätigung bewahren wir bis zum Ende des dritten Kalenderjahres nach dem Jahr, in dem wir die Löschung abgeschlossen haben, auf und löschen sie dann; so können wir nachweisen, dass wir dein Löschverlangen erfüllt haben (Art. 5 Abs. 2 DSGVO; Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO) — Näheres in Abschnitt 6. Eingeladene Personen ohne Konto (Familien-Abo, 3.14a) erreichen uns für Auskunft, Löschung ihrer Adresse und Widerspruch ebenfalls dort.

Du hast zudem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem EU-Mitgliedstaat deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Eine Liste der deutschen Aufsichtsbehörden findest du beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI).

8. Pflicht zur Bereitstellung

Für ein Konto ist eine E-Mail-Adresse erforderlich (bei Apple ggf. die Apple-Weiterleitungsadresse) — mit Passwort oder über die Anmeldung mit Google bzw. Apple (Abschnitt 3.2); für die Nutzung der App ist zusätzlich ein Abonnement erforderlich (siehe AGB) — ohne beides ist eine Nutzung nicht möglich. Erforderlich ist außerdem die Altersangabe für die Prüfung des Mindestalters (Abschnitt 3.20): Das Geburtsdatum ist ein Pflichtschritt des Einstiegs und lässt sich nicht überspringen; das biologische Geschlecht dagegen schon („Keine Angabe"). Beide Angaben bleiben auf deinem Gerät. Alle übrigen Angaben (Präferenzen, Allergien, Personalisierung sowie die Einstiegs-Angaben zu Nutzungsgrund und Kanal nach Abschnitt 3.19) sind freiwillig und lassen sich überspringen.

9. Kinder / Mindestalter

Die App richtet sich an Personen ab 18 Jahren. Den Grund nennen wir offen: Die Bedingungen eines unserer KI-Dienstleister (Google, Gemini API) verlangen, dass die Schnittstelle nur von Personen ab 18 Jahren genutzt wird und nicht in Anwendungen, die sich an Personen unter 18 richten oder von ihnen wahrscheinlich genutzt werden. Das setzen wir auf zwei Wegen um:

• Im geführten Einstieg fragen wir dein Geburtsdatum ab und prüfen das Mindestalter auf deinem Gerät (Abschnitt 3.20). Ergibt die Prüfung ein Alter unter 18, endet der Einstieg an dieser Stelle; du gelangst von dort nicht weiter zur Registrierung. Auf diesem Gerät sind dann auch die Registrierung und die Anmeldung mit Google oder Apple gesperrt (dabei kann ein neues Konto entstehen); die Anmeldung eines bestehenden Kontos mit E-Mail-Adresse und Passwort prüft das Alter nicht.
• Rufst du die Registrierung direkt auf, bestätigst du dort über eine Pflicht-Checkbox, dass du mindestens 18 Jahre alt bist (und die Nutzungsbedingungen akzeptierst). Dieselbe Pflicht-Checkbox verlangt die App auch vor der Anmeldung mit Google oder Apple (Abschnitt 3.2) — im Registrierungs- wie im Anmelde-Bildschirm —, weil dabei beim ersten Mal automatisch ein neues Konto entstehen kann. Ohne Häkchen startet die Anmeldung bei Google bzw. Apple nicht. Nur die Anmeldung eines bestehenden Kontos mit E-Mail-Adresse und Passwort braucht das Häkchen nicht. Das ist eine Selbsterklärung — eine technische Überprüfung des Alters findet an dieser Stelle nicht statt, weil wir dafür zusätzliche personenbezogene Daten (z. B. Ausweis- oder Zahlungsdaten) erheben müssten. Das Häkchen ist ein reiner Schalter in der App-Oberfläche; die Bestätigung selbst speichern wir nicht.

Einen gesonderten Weg über eine Zustimmung der Erziehungsberechtigten (Art. 8 DSGVO) bietet die App nicht an; sie richtet sich nicht an Kinder und Jugendliche [UNSICHER: Altersangabe nur als Selbstauskunft — Recherche A25, U15]. Erfahren wir, dass ein Konto entgegen der Bestätigung von einer Person unter 18 Jahren geführt wird, löschen wir es samt der zugehörigen Daten; einen entsprechenden Hinweis kannst du jederzeit an support@gusti.biz richten. Dasselbe gilt für Personen, die zu einem Platz im Familien-Abo eingeladen werden (Abschnitt 3.14a): Sie müssen mindestens 18 Jahre alt sein; der Zahler darf nur Adressen entsprechender Personen eintragen, und die App weist beim Eintragen und im Einladungs-Bildschirm darauf hin. Personalisierung wird Personen unter 18 nicht angeboten. Wer minderjährig ist und trotzdem Verträge abschließt, ist nach §§ 106 ff. BGB nur beschränkt geschäftsfähig (siehe AGB Ziffer 6).

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Es gilt die jeweils in der App veröffentlichte Fassung mit Datum und Versionsnummer (siehe Kopf dieser Erklärung). Diese Erklärung ist vor der Registrierung verlinkt und jederzeit in den Einstellungen abrufbar.