Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne von Art. 4 Nr. 7 DSGVO ist:

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

2. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten stützt sich auf:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Nutzungsverhältnisses (Bereitstellung des Kontos und der Funktionen)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am sicheren, stabilen und missbrauchsfreien Betrieb
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, soweit optionale Funktionen aktiv ausgelöst werden (z. B. Google-Kalender-Verknüpfung, KI-Funktionen, Freigabe von Inhalten)
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen

3. Hosting und Server-Logfiles

Die Anwendung wird bei einem externen Hosting-Anbieter betrieben (IONOS). Der Anbieter verarbeitet die Daten ausschließlich weisungsgebunden auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf der Seiten erhebt der Webserver automatisch Zugriffsdaten in Logfiles. Dazu gehören typischerweise IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Statuscode, Referrer sowie Browser- und Betriebssystem­kennung. Diese Daten sind technisch erforderlich, um die Seiten auszuliefern, und dienen der Systemsicherheit und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung mit dem Nutzerkonto findet nicht statt.

Der Hosting-Anbieter erstellt aus diesen Logfiles eine anonymisierte Zugriffsstatistik (AWStats). Ein anwendungsseitiges Tracking, Analyse-Cookies oder Profilbildung finden nicht statt.

4. Cookies

Es werden ausschließlich technisch notwendige Cookies eingesetzt. Eine Einwilligung ist hierfür nach § 25 Abs. 2 TDDDG nicht erforderlich; es gibt daher bewusst kein Cookie-Banner.

Beide Cookies sind HttpOnly und werden über verschlüsselte Verbindungen als Secure gesetzt. Beim Abmelden werden sie gelöscht bzw. serverseitig entwertet.

5. Registrierung und Nutzerkonto

Für die Nutzung ist ein Konto erforderlich. Dabei werden verarbeitet: Vorname, Nachname, E-Mail-Adresse und das Passwort. Das Passwort wird ausschließlich als kryptografischer Hash (bcrypt) gespeichert und ist auch für den Betreiber nicht im Klartext einsehbar.

Zur Bestätigung der E-Mail-Adresse und für die Funktion „Passwort vergessen“ werden zeitlich befristete Zufalls-Token gespeichert und per E-Mail versendet. Token für die Passwortzurücksetzung verlieren nach einer Stunde ihre Gültigkeit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden bis zur Löschung des Kontos gespeichert.

6. Selbst eingestellte Inhalte

Gespeichert werden die Inhalte, die aktiv angelegt werden: Rezepte mit Zutaten, Zubereitung, Kategorien, Tags und Nährwertangaben, hochgeladene Rezeptbilder, Wochenpläne, Einkaufslisten, Bewertungen und Favoriten.

Rezeptbilder werden auf dem Server der Anwendung gespeichert. Bitte lade keine Bilder hoch, auf denen Personen erkennbar sind, sofern deren Einwilligung nicht vorliegt, und keine Inhalte, an denen Dritte Rechte halten.

7. Familienfunktion und Einladungen

Über die Familienfunktion können Inhalte mit anderen Nutzenden geteilt werden. Mitglieder einer Familie sehen den Vor- und Nachnamen der übrigen Mitglieder sowie die für die Familie freigegebenen Rezepte, Wochenpläne und Einkaufslisten.

Beim Versand einer Einladung wird die angegebene E-Mail-Adresse zusammen mit einem Einladungs-Token gespeichert und für den Versand der Einladungs-E-Mail genutzt. Wer eine Einladung verschickt, muss sicherstellen, dass die eingeladene Person mit der Nutzung ihrer E-Mail-Adresse einverstanden ist.

8. Öffentlich sichtbare Inhalte

Rezepte können auf eigenen Wunsch zur Veröffentlichung im öffentlichen Bereich („Blog“) eingereicht werden. Nach Freigabe durch den Betreiber sind diese Rezepte samt Bildern ohne Anmeldung für jede Person im Internet abrufbar und können durch Suchmaschinen erfasst werden. Der Name der einstellenden Person wird dabei außerhalb der eigenen Familie nicht angezeigt. Die Veröffentlichung beruht auf der Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und kann jederzeit für die Zukunft widerrufen werden.

9. Einkaufslisten-Übertragung an Bring!

Einkaufslisten können in die App Bring! (Bring! Labs AG, Schweiz) übernommen werden. Dazu wird auf der Einkaufslisten-Seite ein Widget von platform.getbring.com geladen. Beim Laden dieses Widgets wird die IP-Adresse an den Anbieter übertragen.

Für die Übernahme erzeugt die Anwendung einen Freigabe-Link mit einem zufälligen Token. Wer diesen Link kennt, kann die Einkaufsliste ohne Anmeldung abrufen. Der Link sollte daher nicht öffentlich geteilt werden. Die Nutzung dieser Funktion ist freiwillig; die Datenverarbeitung durch Bring! richtet sich nach deren Datenschutzbestimmungen.

10. Google-Kalender-Synchronisation (optional)

Auf Wunsch kann der Wochenplan mit Google Kalender synchronisiert werden. Die Verknüpfung erfolgt ausschließlich nach aktiver Freigabe über das OAuth-2.0-Verfahren von Google (Google Ireland Limited). Dabei werden ein Zugriffs- und ein Aktualisierungs-Token in der Datenbank gespeichert, um Einträge im ausgewählten Kalender anlegen und aktualisieren zu können.

Übertragen werden dabei die Inhalte des Wochenplans (Rezeptbezeichnung, Datum, Mahlzeit). Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Verknüpfung kann jederzeit in den Einstellungen getrennt werden; die gespeicherten Token werden dabei gelöscht.

11. KI-Funktionen (Google Gemini)

Für den Rezeptimport, die Rezeptergänzung und die Erzeugung von Rezeptbildern kann die Schnittstelle Google Gemini (Google Ireland Limited / Google LLC) verwendet werden. Diese Funktionen werden nur ausgeführt, wenn sie aktiv ausgelöst werden.

Dabei werden die jeweils betroffenen Rezeptinhalte bzw. die angegebene Quell-Adresse an Google übertragen und dort verarbeitet. Übertrage in diesen Feldern keine personenbezogenen Daten, die nicht bei Google verarbeitet werden sollen.

Zur Nachvollziehbarkeit und Fehleranalyse protokolliert die Anwendung bei der Bildgenerierung den Rezepttitel, das verwendete Modell, den Status sowie die auslösende Benutzerkennung. Beim Import über eine Webadresse ruft der Server die angegebene Seite selbst ab; gegenüber der Zielseite erscheint dabei die IP-Adresse des Servers, nicht die der nutzenden Person.

12. Veröffentlichung in sozialen Netzwerken

Der Betreiber kann einzelne Rezepte über die Schnittstellen von WhatsApp Business und Instagram (jeweils Meta Platforms Ireland Limited) veröffentlichen. Übertragen werden dabei ausschließlich die Rezeptinhalte und das zugehörige Bild – keine Konto- oder Kontaktdaten der Nutzenden. Diese Funktion wird ausschließlich manuell durch den Betreiber ausgelöst.

13. E-Mail-Versand

Die Anwendung versendet ausschließlich funktionsbezogene E-Mails: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts und Familieneinladungen. Ein Newsletter oder Werbemails werden nicht versendet. Der Versand erfolgt über einen E-Mail-Dienstleister (SMTP), der die Nachrichten weisungsgebunden verarbeitet.

14. Eingebundene externe Ressourcen

Gestaltungselemente (Bootstrap, Bootstrap Icons) werden über das Content-Delivery-Network jsDelivr geladen. Beim Aufruf einer Seite wird dabei die IP-Adresse an den CDN-Anbieter übertragen; dies ist technisch erforderlich, um die Dateien auszuliefern (Art. 6 Abs. 1 lit. f DSGVO). Schriftarten von Google Fonts, Werbenetzwerke, Social-Media-Plugins oder Analysedienste sind nicht eingebunden.

15. Datenübermittlung in Drittländer

Bei Nutzung der optionalen Funktionen (Google Kalender, Google Gemini, Bring!) sowie beim Laden der CDN-Ressourcen kann eine Verarbeitung außerhalb der Europäischen Union – insbesondere in den USA und der Schweiz – stattfinden. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Für Übermittlungen in die USA stützen sich die Anbieter auf den EU-US Data Privacy Framework bzw. auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Ein den europäischen Standards entsprechendes Schutzniveau kann dabei nicht in jedem Fall garantiert werden.

16. Speicherdauer und Löschung

• Konto- und Inhaltsdaten: bis zur Löschung des Kontos
• Token für Passwortzurücksetzung: 1 Stunde
• Anmelde-Token („Angemeldet bleiben“): bis zum Ablauf; abgelaufene Token werden automatisch entfernt
• Server-Logfiles: nach den Vorgaben des Hosting-Anbieters, üblicherweise wenige Tage bis Wochen

17. Deine Rechte

Dir stehen jederzeit folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für die Ausübung genügt eine formlose Nachricht an rezepte@31d.de. Außerdem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), in der Regel bei der Behörde des eigenen Wohnsitzes.

18. Datensicherheit

Die Übertragung erfolgt verschlüsselt über HTTPS. Passwörter werden ausschließlich als bcrypt-Hash gespeichert, Formulare sind gegen Cross-Site-Request-Forgery geschützt und der Browser erhält restriktive Sicherheits-Header (unter anderem eine Content-Security-Policy). Es besteht keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO.