Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne von Art. 4 Nr. 7 DSGVO ist:

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

2. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten stützt sich auf:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Nutzungsverhältnisses (Bereitstellung des Kontos und der Funktionen)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am sicheren, stabilen und missbrauchsfreien Betrieb
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, soweit optionale Funktionen aktiv ausgelöst werden (z. B. Google-Kalender-Verknüpfung, KI-Funktionen, Freigabe von Inhalten)
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen

3. Hosting und Server-Logfiles

Die Anwendung wird bei einem externen Hosting-Anbieter betrieben (IONOS). Der Anbieter verarbeitet die Daten ausschließlich weisungsgebunden auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf der Seiten erhebt der Webserver automatisch Zugriffsdaten in Logfiles. Dazu gehören typischerweise IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Statuscode, Referrer sowie Browser- und Betriebssystem­kennung. Diese Daten sind technisch erforderlich, um die Seiten auszuliefern, und dienen der Systemsicherheit und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung mit dem Nutzerkonto findet nicht statt.

Der Hosting-Anbieter erstellt aus diesen Logfiles eine anonymisierte Zugriffsstatistik (AWStats). Analyse-Cookies oder Profilbildung finden nicht statt.

Zusätzlich zählen wir Seitenaufrufe, Klicks auf Links und Suchen auf dieser Seite, um sie zu verbessern. Dafür setzen wir kein Cookie und speichern keine IP-Adresse. Aus IP-Adresse und Browserkennung bilden wir mit einem täglich wechselnden, nach einem Tag gelöschten Zufallswert eine Kennung, die nur am selben Tag wiederkehrt; danach lässt sie sich niemandem mehr zuordnen. Ein gesetztes „Do Not Track“- oder „Global Privacy Control“-Signal vermerken wir dabei. Private Bereiche wie Wochenplan, Einkaufsliste und Familie zählen wir nicht. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

4. Cookies

Es werden ausschließlich technisch notwendige Cookies eingesetzt. Eine Einwilligung ist hierfür nach § 25 Abs. 2 TDDDG nicht erforderlich; es gibt daher bewusst kein Cookie-Banner.

Beide Cookies sind HttpOnly und werden über verschlüsselte Verbindungen als Secure gesetzt. Beim Abmelden werden sie gelöscht bzw. serverseitig entwertet.

5. Registrierung und Nutzerkonto

Für die Nutzung ist ein Konto erforderlich. Dabei werden verarbeitet: Vorname, Nachname, E-Mail-Adresse und das Passwort. Das Passwort wird ausschließlich als kryptografischer Hash (bcrypt) gespeichert und ist auch für den Betreiber nicht im Klartext einsehbar.

Zur Bestätigung der E-Mail-Adresse und für die Funktion „Passwort vergessen“ werden zeitlich befristete Zufalls-Token gespeichert und per E-Mail versendet. Token für die Passwortzurücksetzung verlieren nach einer Stunde ihre Gültigkeit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden bis zur Löschung des Kontos gespeichert.

6. Selbst eingestellte Inhalte

Gespeichert werden die Inhalte, die aktiv angelegt werden: Rezepte mit Zutaten, Zubereitung, Kategorien, Tags und Nährwertangaben, hochgeladene Rezeptbilder, Wochenpläne, Einkaufslisten, Bewertungen und Favoriten.

Rezeptbilder werden auf dem Server der Anwendung gespeichert. Bitte lade keine Bilder hoch, auf denen Personen erkennbar sind, sofern deren Einwilligung nicht vorliegt, und keine Inhalte, an denen Dritte Rechte halten.

7. Familienfunktion und Einladungen

Über die Familienfunktion können Inhalte mit anderen Nutzenden geteilt werden. Mitglieder einer Familie sehen den Vor- und Nachnamen der übrigen Mitglieder sowie die für die Familie freigegebenen Rezepte, Wochenpläne und Einkaufslisten.

Beim Versand einer Einladung wird die angegebene E-Mail-Adresse zusammen mit einem Einladungs-Token gespeichert und für den Versand der Einladungs-E-Mail genutzt. Wer eine Einladung verschickt, muss sicherstellen, dass die eingeladene Person mit der Nutzung ihrer E-Mail-Adresse einverstanden ist.

8. Öffentlich sichtbare Inhalte

Rezepte können auf eigenen Wunsch zur Veröffentlichung im öffentlichen Bereich („Blog“) eingereicht werden. Nach Freigabe durch den Betreiber sind diese Rezepte samt Bildern ohne Anmeldung für jede Person im Internet abrufbar und können durch Suchmaschinen erfasst werden. Der Name der einstellenden Person wird dabei außerhalb der eigenen Familie nicht angezeigt. Die Veröffentlichung beruht auf der Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und kann jederzeit für die Zukunft widerrufen werden.

9. Einkaufslisten-Übertragung an Bring!

Einkaufslisten können in die App Bring! (Bring! Labs AG, Schweiz) übernommen werden. Dazu wird auf der Einkaufslisten-Seite ein Widget von platform.getbring.com geladen. Beim Laden dieses Widgets wird die IP-Adresse an den Anbieter übertragen.

Für die Übernahme erzeugt die Anwendung einen Freigabe-Link mit einem zufälligen Token. Wer diesen Link kennt, kann die Einkaufsliste ohne Anmeldung abrufen. Der Link sollte daher nicht öffentlich geteilt werden. Die Nutzung dieser Funktion ist freiwillig; die Datenverarbeitung durch Bring! richtet sich nach deren Datenschutzbestimmungen.

10. Google-Kalender-Synchronisation (optional)

Auf Wunsch kann der Wochenplan mit Google Kalender synchronisiert werden. Die Verknüpfung erfolgt ausschließlich nach aktiver Freigabe über das OAuth-2.0-Verfahren von Google (Google Ireland Limited). Dabei werden ein Zugriffs- und ein Aktualisierungs-Token verschlüsselt in der Datenbank gespeichert, um Einträge im ausgewählten Kalender anlegen und aktualisieren zu können, dazu die Mailadresse des verbundenen Google-Kontos, damit du siehst, welches Konto verbunden ist.

Übertragen werden dabei die Inhalte des Wochenplans (Rezeptbezeichnung, Datum, Mahlzeit). Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Verknüpfung kann jederzeit in den Kalender-Einstellungen oder im Konto unter „Zugriffe“ getrennt werden; die gespeicherten Token werden dabei gelöscht und der Zugriff bei Google widerrufen.

11. KI-Funktionen (Google Gemini)

Für die Erzeugung von Rezeptbildern kann die Schnittstelle Google Gemini (Google Ireland Limited / Google LLC) oder fal.ai (FLUX) verwendet werden. Diese Funktion wird nur von Administratoren ausgelöst.

Dabei werden Titel, Beschreibung und Zubereitungsschritte des betroffenen Rezepts an den Anbieter übertragen und dort verarbeitet. Personenbezogene Daten gehören nicht in Rezepttexte.

Zur Nachvollziehbarkeit und Fehleranalyse protokolliert die Anwendung bei der Bildgenerierung den Rezepttitel, das verwendete Modell, den Status sowie die auslösende Benutzerkennung.

12. Veröffentlichung in sozialen Netzwerken

Der Betreiber kann einzelne Rezepte über die Schnittstellen von WhatsApp Business und Instagram (jeweils Meta Platforms Ireland Limited) veröffentlichen. Übertragen werden dabei ausschließlich die Rezeptinhalte und das zugehörige Bild – keine Konto- oder Kontaktdaten der Nutzenden. Diese Funktion wird ausschließlich manuell durch den Betreiber ausgelöst.

13. E-Mail-Versand

Die Anwendung versendet ausschließlich funktionsbezogene E-Mails: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts und Familieneinladungen. Ein Newsletter oder Werbemails werden nicht versendet. Der Versand erfolgt über einen E-Mail-Dienstleister (SMTP), der die Nachrichten weisungsgebunden verarbeitet.

14. Eingebundene externe Ressourcen

Gestaltungselemente (Bootstrap, Bootstrap Icons) werden über das Content-Delivery-Network jsDelivr geladen. Beim Aufruf einer Seite wird dabei die IP-Adresse an den CDN-Anbieter übertragen; dies ist technisch erforderlich, um die Dateien auszuliefern (Art. 6 Abs. 1 lit. f DSGVO). Schriftarten von Google Fonts, Werbenetzwerke, Social-Media-Plugins oder Analysedienste sind nicht eingebunden.

15. Datenübermittlung in Drittländer

Bei Nutzung der optionalen Funktionen (Google Kalender, Google Gemini, Bring!) sowie beim Laden der CDN-Ressourcen kann eine Verarbeitung außerhalb der Europäischen Union – insbesondere in den USA und der Schweiz – stattfinden. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Für Übermittlungen in die USA stützen sich die Anbieter auf den EU-US Data Privacy Framework bzw. auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Ein den europäischen Standards entsprechendes Schutzniveau kann dabei nicht in jedem Fall garantiert werden.

16. Speicherdauer und Löschung

• Konto- und Inhaltsdaten: bis zur Löschung des Kontos
• Token für Passwortzurücksetzung: 1 Stunde
• Anmelde-Token („Angemeldet bleiben“): bis zum Ablauf; abgelaufene Token werden automatisch entfernt
• Server-Logfiles: nach den Vorgaben des Hosting-Anbieters, üblicherweise wenige Tage bis Wochen
• Besucherstatistik: einzelne Ereignisse 30 Tage, danach nur Tagessummen; der Zufallswert für die Tageskennung einen Tag

17. Deine Rechte

Dir stehen jederzeit folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für die Ausübung genügt eine formlose Nachricht an rezepte@31d.de. Außerdem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), in der Regel bei der Behörde des eigenen Wohnsitzes.

18. Datensicherheit

Die Übertragung erfolgt verschlüsselt über HTTPS. Passwörter werden ausschließlich als bcrypt-Hash gespeichert, Formulare sind gegen Cross-Site-Request-Forgery geschützt und der Browser erhält restriktive Sicherheits-Header (unter anderem eine Content-Security-Policy). Es besteht keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO.