Datenschutzerklärung für die Pastro-App

Auf einen Blick

• Pastro ist kostenlos und werbefrei. Wir verkaufen keine Daten, werten keine einzelnen Personen aus und betreiben kein Werbetracking.
• Deine Daten liegen bei unserem Backend-Dienstleister Appwrite in der EU (Region Frankfurt am Main). Frei formulierte Inhalte sind dort zusätzlich verschlüsselt.
• Die KI-Funktionen (Kassenbon, Spracheingabe, Rezepte) sind freiwillig, laufen über Mistral AI (Frankreich) und brauchen deine Einwilligung. Bilder und Aufnahmen speichern wir nicht.
• In einem geteilten Haushalt sehen die Mitglieder dieselben Inhalte und untereinander Anzeigename und E-Mail-Adresse.
• Die Reichweitenmessung mit Umami kommt ohne Cookies aus, ist pseudonym und lässt sich in den Einstellungen abschalten.
• Dein Konto und deine Daten löschst du jederzeit selbst in den Einstellungen.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und sonstiger nationaler Datenschutzgesetze ist:

Weitere Anbieterangaben findest du im Impressum.

Diese Datenschutzerklärung gilt für die Progressive Web App „Pastro“ (nachfolgend „App“ oder „Pastro“), erreichbar unter pantry.pastro.app. Für die Website unter pastro.app gilt eine gesonderte Datenschutzerklärung.

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nicht benannt, weil keine Benennungspflicht besteht: Es sind weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG), und die Fälle des Art. 37 Abs. 1 DSGVO liegen nicht vor. Datenschutzanfragen richtest du an die oben genannte Kontaktadresse.

2. Übersicht der Verarbeitungen

Arten der verarbeiteten Daten:

• Bestands- und Kontaktdaten: E-Mail-Adresse; Anzeigename (bei Anmeldung mit Google übernehmen wir den Namen aus deinem Google-Konto; du kannst ihn jederzeit ändern); eine von uns vergebene Nutzer-ID; Zeitpunkt der Registrierung und des letzten Zugriffs; ob deine E-Mail-Adresse bestätigt ist; bei Google-Anmeldung die Verknüpfung mit deinem Google-Konto (Abschnitt 10).
• Sitzungsdaten: zu jeder Anmeldung die IP-Adresse, das daraus abgeleitete Land, Browser, Betriebssystem und Gerätetyp, solange die Sitzung besteht (Abschnitt 10).
• Inhaltsdaten: in der App erfasste Lebensmittel (Bezeichnung, Kategorie, Menge, Preis, Kaufdatum, geschätztes Ablaufdatum, Icon), Kaufhistorie, Einkaufslisten, gespeicherte Produktanpassungen (Bezeichnung, Haltbarkeit, Kategorie, Icon), Rezepte (KI-Vorschläge und selbst erstellte) und deine Rezeptanfragen (Freitext).
• Bild-, Dokument- und Audiodaten: Fotos, Bilddateien oder PDF-Dateien von Kassenbons sowie Sprachaufnahmen – nur wenn du die KI-Funktionen nutzt, und bei uns nur für die Dauer der Verarbeitung (zur Aufbewahrung beim KI-Anbieter siehe Abschnitt 13).
• Vorlieben für Rezepte (freiwillig): Freitext zu Geschmack und Kochgewohnheiten, z. B. „scharf, keine Pilze, maximal 30 Minuten“ (Abschnitt 13.3).
• Haushaltsdaten: Zuordnung zu deinem Haushalt, deine Rolle (Inhaber oder Mitglied), von dir versandte oder an dich gerichtete Einladungen mit E-Mail-Adresse, Zeitpunkt und Status (Abschnitt 11).
• Nutzungs- und Einstellungsdaten: Farbschema, App-Sprache, ausgeblendete Navigationsbereiche, gewünschte Rezeptanzahl je Anfrage, Reihenfolge deiner Einkaufslisten, die von dir akzeptierte Fassung der Nutzungsbedingungen, Zeitpunkte deiner KI-Einwilligung und ihres Widerrufs, wöchentliche Zähler der KI-Anfragen (je Haushalt und je Person), Kennzeichnung als Unterstützer (dafür gleichen wir die von Buy Me a Coffee gemeldete E-Mail-Adresse mit deinem Konto ab, Abschnitt 15).
• Einwilligungsnachweis: Zeitpunkt und Wortlaut deiner KI-Einwilligung bzw. ihres Widerrufs; nach einer Kontolöschung zusätzlich deine Nutzer-ID, ein Hashwert deiner E-Mail-Adresse und der Zeitpunkt der Löschung (Abschnitt 7 und 13).
• Meta-/Kommunikationsdaten: technisch erforderliche Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Ressource, Statuscode, Browser-Kennung) bei Aufruf der App und der Server (Abschnitt 9); pseudonyme Nutzungs- und Ereignisdaten der Reichweitenmessung ohne Cookies (Abschnitt 14).

Kategorien betroffener Personen: Nutzerinnen und Nutzer der App, einschließlich Mitgliedern eines geteilten Haushalts; Personen, die in einen Haushalt eingeladen werden; Personen, die Pastro über Buy Me a Coffee unterstützen; Personen, die uns eine Nachricht schicken; Personen, deren Angaben in einem hochgeladenen Beleg oder einer Sprachaufnahme enthalten sind.

Kategorien von Empfängern:

• unser Backend-Dienstleister einschließlich seiner Unterauftragsverarbeiter (Cloud-Infrastruktur, Content-Delivery und Web-Sicherheit, E-Mail-Versand, Fehler-Monitoring, Support),
• der KI-Anbieter für Belegerfassung, Spracheingabe und Rezeptvorschläge – als unser Auftragsverarbeiter; für die Missbrauchskontrolle seiner Schnittstelle zugleich in eigener Verantwortung (Abschnitt 13),
• der Anbieter der Reichweitenmessung einschließlich seiner Unterauftragsverarbeiter,
• Google als Anmeldedienst (nur bei Google-Anmeldung) und als Anbieter unseres Kontakt-Postfachs,
• Buy Me a Coffee (nur wenn du Pastro dort unterstützt),
• bei geteilten Haushalten: die übrigen Mitglieder deines Haushalts.

Einzelheiten zu den Empfängern und zu Übermittlungen in Drittländer findest du in den Abschnitten 5 und 6.

Zwecke der Verarbeitung:

• Bereitstellung der App, ihrer Funktionen und Inhalte.
• Registrierung, Anmeldung und Verwaltung des Nutzerkontos.
• Verwaltung von Vorräten, Einkaufslisten, Rezepten und Statistiken.
• KI-gestützte Erkennung von Lebensmitteln aus Kassenbons (Foto/PDF) und Sprachaufnahmen.
• KI-gestützte Rezeptvorschläge aus deinem Vorrat.
• Geteilte Nutzung in Haushalten inklusive Einladungen.
• Nachweis erteilter Einwilligungen und Verteidigung gegen Rechtsansprüche.
• Sicherheit, Missbrauchsvermeidung (Begrenzung der KI-Anfragen) und technischer Betrieb.
• Reichweitenmessung und Verbesserung der App.
• Kennzeichnung freiwilliger Unterstützung.
• Beantwortung deiner Anfragen.

3. Maßgebliche Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen der DSGVO; ergänzend gelten die nationalen Datenschutzvorgaben in Deutschland (insbesondere BDSG und TDDDG). In jedem Abschnitt dieser Erklärung steht, welche Grundlage für die jeweilige Verarbeitung gilt.

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Verarbeitung, die erforderlich ist, um die von dir angefragten Funktionen bereitzustellen – Nutzerkonto und Anmeldung, Speicherung und Synchronisation deiner Vorräte, Einkaufslisten, Produktanpassungen, Rezepte und Statistiken, Speicherung deiner Vorlieben für Rezepte, die Haushaltsfunktion einschließlich der gemeinsamen Nutzung der Haushaltsdaten durch alle Mitglieder, und die Beantwortung deiner Anfragen zur App.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): die drei KI-gestützten Funktionen – Belegerfassung, Spracheingabe und Rezeptvorschläge –, also die Übermittlung deines Belegs, deiner Aufnahme oder deiner Rezeptanfrage samt Vorrat und Vorlieben an den KI-Anbieter und die Verarbeitung dort (Abschnitt 13). Nutzt ein Mitglied deines Haushalts die KI-Funktionen, gehen dabei auch gemeinsame Haushaltsdaten mit, die du eingegeben hast (Vorrat, Produktanpassungen). Gegenüber dir beruht das auf der Haushaltsfunktion, die du gewählt hast (Art. 6 Abs. 1 lit. b DSGVO, Abschnitt 11).
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): technischer Betrieb, Sicherheit und Fehlerbehebung (Server-Protokolle, Sitzungsdaten), Missbrauchsvermeidung (Begrenzung der KI-Anfragen), Zustellung von Einladungen an eingeladene Personen, Löschung nie genutzter Konten und abgelaufener Einladungen, datenschutzfreundliche Reichweitenmessung ohne Cookies (Abschnitt 14), Kennzeichnung freiwilliger Unterstützer (Abschnitt 15), die Beantwortung von Anfragen, die nicht die Nutzung der App betreffen (Abschnitt 16), sowie die Aufbewahrung des Einwilligungsnachweises nach einer Kontolöschung zur Verteidigung gegen Rechtsansprüche (Abschnitt 7). Unser Interesse nennen wir jeweils im zugehörigen Abschnitt. Gegen diese Verarbeitungen kannst du Widerspruch einlegen (Abschnitt 8).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): die Nachweispflicht für Einwilligungen nach Art. 7 Abs. 1 DSGVO (solange dein Konto besteht) sowie gesetzliche Aufbewahrungspflichten für geschäftliche Korrespondenz (Abschnitt 16).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Pastro ist nicht dafür gemacht, Gesundheitsdaten, religiöse Überzeugungen oder andere besondere Kategorien personenbezogener Daten zu verarbeiten. Wir fragen solche Daten nicht ab und werten sie nicht aus. Die Vorlieben für Rezeptvorschläge sind für Geschmack und Kochgewohnheiten gedacht; die App bittet dich ausdrücklich, dort keine Allergien, Unverträglichkeiten, Krankheiten oder religiösen Gründe einzutragen. Es lässt sich dennoch nicht vollständig ausschließen, dass aus Angaben, die du selbst machst – in den Vorlieben, in Rezeptanfragen, in Sprachaufnahmen oder auf Kassenbons (etwa bei Apotheken- oder Drogerieprodukten) – mittelbar Rückschlüsse auf Gesundheit oder Überzeugungen möglich sind. Solche Inhalte verarbeiten wir nur, wenn du sie selbst hochlädst oder eingibst, nur für den jeweiligen Zweck und auf Grundlage der ausdrücklichen Einwilligung, die du vor der ersten Nutzung der KI-Funktionen erteilst und die diesen Fall ausdrücklich benennt (Art. 9 Abs. 2 lit. a DSGVO). Du kannst solche Angaben jederzeit selbst löschen und die Einwilligung widerrufen (Abschnitt 8). Sprachaufnahmen werden ausschließlich in Text umgewandelt; eine Erkennung von Personen anhand ihrer Stimme findet nicht statt, es entstehen keine biometrischen Daten.

4. Sicherheitsmaßnahmen

Wir treffen nach Maßgabe des Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere:

• Transportverschlüsselung: Die Übertragung sämtlicher Daten erfolgt verschlüsselt über HTTPS/TLS.
• Verschlüsselte Speicherung von Inhalten: Deine frei formulierten Inhalte werden in der Datenbank zusätzlich verschlüsselt gespeichert: die Bezeichnungen deiner Lebensmittel, Einkaufslisten-Einträge, Listen und Produktanpassungen; Titel, Zutaten, Zubereitung und Tipps deiner Rezepte; der Text deiner Rezeptanfragen sowie deine Vorlieben für Rezepte. Nicht gesondert verschlüsselt sind strukturierte Werte wie Kategorien, Preise, Mengen, Datumsangaben und Statusfelder. Die Verschlüsselung erfolgt serverseitig durch die Datenbank unseres Dienstleisters mit einem Schlüssel unseres Projekts. Sie schützt die gespeicherten Daten vor unbefugtem Zugriff, ist aber keine Ende-zu-Ende-Verschlüsselung: Die App und wir können die Inhalte im Betrieb lesen.
• Speicherung in der EU: Die Datenhaltung erfolgt bei unserem Backend-Dienstleister in der von uns gewählten Region Frankfurt am Main (zu Zugriffen aus Drittländern siehe Abschnitt 6). Der Anbieter beschreibt seine Sicherheitsmaßnahmen in einer Sicherheitsdokumentation, die Bestandteil unseres Auftragsverarbeitungsvertrags ist.
• Zugriffstrennung: Inhaltsdaten sind über Berechtigungen auf Haushaltsebene isoliert; innerhalb der App haben nur die Mitglieder des jeweiligen Haushalts Zugriff. Deine Vorlieben für Rezepte sind allein für dich lesbar. Der Einwilligungsnachweis liegt in einem Bereich, auf den keine App-Nutzerin und kein App-Nutzer zugreifen kann. Wir selbst greifen als Betreiber auf gespeicherte Daten nur zu, wenn das zur Fehlerbehebung, zur Beantwortung deiner Anfrage oder zur Erfüllung einer rechtlichen Pflicht nötig ist.
• Serverseitige Prüfungen: Die KI-Funktionen prüfen serverseitig deine Anmeldung, deine Haushaltsmitgliedschaft, deine Einwilligung und das Wochenkontingent, bevor Daten an den KI-Anbieter gehen. Die Einwilligung wird dabei aus dem gesondert gespeicherten Nachweis gelesen, nicht aus deinen Einstellungen.
• Passwortlose Authentifizierung: Die Anmeldung erfolgt über einen per E-Mail versandten Einmalcode oder über dein Google-Konto; wir speichern keine Passwörter. Sitzungen enden mit dem Abmelden und spätestens nach einem Jahr.
• Keine Inhalte in Protokollen: Unsere Serverfunktionen schreiben keine Belegtexte, Transkripte, Rezeptinhalte, E-Mail-Adressen oder Namen in Protokolle; Fehlermeldungen enthalten nur technische Angaben.
• Datensicherung (Backups): Automatisierte Sicherungskopien der Datenbank, einmal täglich, Aufbewahrung 7 Tage, danach automatische Löschung; gespeichert beim selben Dienstleister (Abschnitt 6).
• Datenminimierung: Wir erheben nur die für den jeweiligen Zweck erforderlichen Daten und löschen nicht mehr benötigte Daten automatisiert (Abschnitt 7).

5. Auftragsverarbeiter, Dienstleister und weitere Empfänger

Wir geben deine Daten nur an die folgenden Stellen weiter. „Auftragsverarbeiter“ heißt: Der Anbieter verarbeitet Daten ausschließlich nach unserer Weisung, und mit ihm besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Auftragsverarbeiter:

• Appwrite (Backend, Authentifizierung, Datenbank, Echtzeit-Synchronisation, Serverfunktionen, Hosting, Versand der Anmelde- und Einladungs-E-Mails): Vertragspartner sind Appwrite Code LTD (Israel) und Appwrite Code, Inc. (USA). Speicherung und Verarbeitung erfolgen in der von uns gewählten Region Frankfurt am Main (EU) auf Infrastruktur des Anbieters DigitalOcean. Appwrite setzt Unterauftragsverarbeiter ein, u. a. DigitalOcean, Fastly und Cloudflare (Cloud-Infrastruktur, Content-Delivery, Web-Sicherheit), Mailgun, Resend und SendGrid (Versand von E-Mails wie Einmalcodes und Haushaltseinladungen), Sentry (Fehler-Monitoring) und Help Scout (Support). Der Anbieter und ein Teil dieser Unterauftragsverarbeiter können aus den USA und Israel auf die Daten zugreifen (Abschnitt 6). Die vollständige Liste ist Bestandteil des Auftragsverarbeitungsvertrags und kann bei uns angefragt werden.
• Mistral AI (KI-Modelle für Texterkennung, Sprachtranskription und Textgenerierung): Mistral AI, 15 rue des Halles, 75001 Paris, Frankreich. Wird nur bei Nutzung der KI-Funktionen und nur mit deiner Einwilligung eingesetzt (Abschnitt 13). Mistral verarbeitet nach eigenen Angaben standardmäßig auf Infrastruktur in der EU; soweit Mistral ausnahmsweise Unterauftragsverarbeiter außerhalb der EU einsetzt, sichert es die Übermittlung nach eigenen Angaben durch Standardvertragsklauseln ab (Abschnitt 6).
• Umami (Reichweitenmessung ohne Cookies): Umami Software, Inc., 28 Geary St, Suite 650 #243, San Francisco, USA. Die Reichweitendaten werden in der EU-Region des Dienstes gespeichert (Infrastruktur bei Hetzner Online GmbH, EU; Analytics-Datenbank bei ClickHouse, Inc., USA/EU); für Skript-Auslieferung, Hosting, Netzwerksicherheit und Protokollierung setzt der Anbieter Unterauftragsverarbeiter mit Sitz in den USA ein (u. a. Cloudflare, Vercel, Amazon Web Services, Axiom). Siehe Abschnitt 6 und 14.
• Google Workspace (Kontakt-Postfach): Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland, als Anbieter des Postfachs contact@pastro.app (Abschnitt 16).

Eigenständig Verantwortliche – verarbeiten Daten in eigener Verantwortung nach ihren eigenen Datenschutzerklärungen:

• Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) bei der optionalen Anmeldung mit deinem Google-Konto (Abschnitt 10).
• Mistral AI für die automatisierte Missbrauchskontrolle seiner Schnittstelle, der die übermittelten Daten bis zu 30 Tage unterliegen (Abschnitt 13; Datenschutzerklärung von Mistral AI unter legal.mistral.ai).
• Buy Me a Coffee (Publisherr Inc., San Francisco, USA), wenn du Pastro dort freiwillig unterstützt (Abschnitt 15).

Weitere Empfänger: die übrigen Mitglieder deines Haushalts, wenn du einen Haushalt teilst (Abschnitt 11).

6. Internationale Datentransfers

Wo deine Daten liegen. Deine Konto- und Inhaltsdaten werden in der EU gespeichert und verarbeitet (Region Frankfurt am Main, Abschnitt 5). Die KI-Verarbeitung findet nach Angaben von Mistral AI standardmäßig in der EU statt, die Reichweitendaten liegen in der EU-Region von Umami. Zu Übermittlungen in Länder außerhalb der EU bzw. des EWR kommt es in folgenden Fällen:

• Appwrite – Israel und USA. Unser Backend-Dienstleister betreibt und betreut den Dienst über Gesellschaften in Israel und den USA; ein Teil seiner Unterauftragsverarbeiter sitzt in den USA. Im Rahmen von Betrieb, Wartung und Support können sie auf die in Frankfurt gespeicherten Daten zugreifen; ein solcher Zugriff gilt als Übermittlung. Israel: Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO (Beschluss 2011/61/EU, von der Kommission im Bericht vom 15. Januar 2024 überprüft und bestätigt). USA: Standardvertragsklauseln der Europäischen Kommission (Modul „Verantwortlicher an Auftragsverarbeiter“) als geeignete Garantie nach Art. 46 Abs. 2 lit. c DSGVO, Bestandteil unseres Auftragsverarbeitungsvertrags.
• Umami – USA. Der Anbieter hat seinen Sitz in den USA und setzt dort Unterauftragsverarbeiter für Skript-Auslieferung, Hosting, Netzwerksicherheit und Protokollierung ein. Diese verarbeiten deine IP-Adresse vorübergehend, wenn dein Browser das Skript lädt und Ereignisse sendet; Umami selbst speichert die IP-Adresse nach eigenen Angaben nicht (Abschnitt 14). Garantie: Standardvertragsklauseln (Modul „Verantwortlicher an Auftragsverarbeiter“) nach Art. 46 Abs. 2 lit. c DSGVO, Bestandteil des Auftragsverarbeitungsvertrags.
• Mistral AI – Ausnahmefälle. Mistral sichert Übermittlungen an Unterauftragsverarbeiter außerhalb der EU nach eigenen Angaben durch Standardvertragsklauseln ab (Art. 46 Abs. 2 lit. c DSGVO); die Liste seiner Unterauftragsverarbeiter führt Mistral im Trust Center (trust.mistral.ai).
• Google Workspace – USA. Beim Kontakt-Postfach kann eine Übermittlung an Google LLC in den USA erfolgen. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung ist durch den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO) gedeckt. Unser Vertrag mit Google enthält zusätzlich Standardvertragsklauseln, die greifen, falls dieser Beschluss entfällt.
• Google-Anmeldung und Buy Me a Coffee. Nutzt du die Anmeldung mit Google oder unterstützt du Pastro über Buy Me a Coffee, verarbeiten diese Anbieter deine Daten in eigener Verantwortung, auch in den USA. Wir erhalten von ihnen nur die in Abschnitt 10 bzw. 15 genannten Angaben.

Wir weisen darauf hin, dass in den USA trotz der vereinbarten Garantien ein Zugriff staatlicher Stellen nach dortigem Recht nicht vollständig ausgeschlossen werden kann.

Kopie der Garantien. Eine Kopie der Standardvertragsklauseln bzw. nähere Informationen zu den Garantien kannst du bei uns anfordern; eine formlose Nachricht an die Kontaktadresse genügt. Die Vertragsbedingungen von Umami (umami.is/dpa) und Mistral AI (legal.mistral.ai) sind öffentlich einsehbar.

7. Speicherdauer und Löschung von Daten

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Im Einzelnen:

• Kontodaten, Einstellungen und Inhaltsdaten: solange dein Nutzerkonto besteht.
• Sitzungen: Die zu einer Anmeldung gespeicherten Sitzungsdaten (Abschnitt 10) bestehen, bis du dich abmeldest, längstens ein Jahr. Die Verknüpfung mit deinem Google-Konto besteht bis zur Löschung deines Kontos.
• Löschung des Kontos: Du kannst dein Konto jederzeit in den Einstellungen selbst löschen. Dabei werden dein Nutzerkonto samt Sitzungen und Google-Verknüpfung, deine Einstellungen, deine Vorlieben für Rezepte, dein persönlicher KI-Zähler und die dir zugeordneten Daten unverzüglich gelöscht. Einzige Ausnahme ist der Einwilligungsnachweis (unten).
• Geteilte Haushalte: Bist du Mitglied eines geteilten Haushalts, bleiben die gemeinsamen Haushaltsdaten (Vorräte, Kaufhistorie, Einkaufslisten, Produktanpassungen, Rezepte, Rezeptanfragen, Statistiken) für die übrigen Mitglieder bestehen, wenn du dein Konto löschst oder den Haushalt verlässt. Verlässt das letzte Mitglied den Haushalt, werden alle Haushaltsdaten gelöscht.
• Kaufhistorie: Die Einträge deiner Kaufhistorie (Kategorie, Preis, Menge, Kaufdatum – ohne Artikelbezeichnung und ohne Zuordnung zu einer Person) bleiben gespeichert, solange dein Haushalt besteht, auch wenn das Lebensmittel längst verbraucht ist, weil die Statistik des Haushalts darauf aufbaut (angezeigt werden die letzten 12 Monate). Du kannst die Historie jederzeit vollständig löschen, indem du den Haushalt verlässt oder dein Konto löschst, oder sie mit einer formlosen Nachricht an uns löschen lassen.
• Beleg-Bilder, PDF-Dateien und Sprachaufnahmen: werden nur für die Dauer der Verarbeitung an den KI-Anbieter übermittelt und in Pastro nicht gespeichert – weder in der Datenbank noch in Dateispeichern oder Protokollen. Gespeichert werden nur die daraus erzeugten Lebensmittel-Einträge. Beim KI-Anbieter unterliegen sie nach dessen Datenschutzerklärung bis zu 30 Tage der Missbrauchskontrolle (Abschnitt 13).
• Rezeptanfragen und KI-Rezeptvorschläge: Im Rezept-Chat werden höchstens 50 nicht favorisierte KI-Vorschläge vorgehalten; darüber hinaus werden die ältesten Vorschläge samt zugehöriger Anfrage beim nächsten Öffnen des Rezept-Chats automatisch gelöscht. Favorisierte und selbst erstellte Rezepte bleiben, bis du sie löschst. Den Chat-Verlauf kannst du jederzeit selbst leeren.
• Vorlieben für Rezepte: bis du sie änderst oder löschst, bis du deine KI-Einwilligung widerrufst (dabei werden sie gelöscht) oder bis zur Löschung des Kontos.
• Zähler der KI-Anfragen: Für jede Woche, in der KI-Funktionen genutzt wurden, führen wir einen Zähler je Haushalt und je Person. Zähler vergangener Wochen werden automatisch gelöscht, sobald sie älter als 8 Tage sind, damit kein Nutzungsprofil entsteht.
• Einladungen und nie genutzte Konten: Eine Einladung in einen Haushalt ist 10 Tage gültig (ab dem letzten Versand) und wird danach automatisch gelöscht. Konten, die durch eine Einladung oder die Anforderung eines Einmalcodes angelegt, aber nie bestätigt und nie genutzt wurden, werden 10 Tage nach ihrer Anlage automatisch gelöscht.
• Einwilligungsnachweis: Wenn du in die KI-Verarbeitung einwilligst oder diese Einwilligung widerrufst, halten wir das getrennt von deinen übrigen Daten fest: den Zeitpunkt und den Wortlaut des Einwilligungstexts, so wie er dir angezeigt wurde, jeweils den aktuellen Stand. Dazu sind wir nach Art. 7 Abs. 1 DSGVO verpflichtet. Dieser Nachweis besteht, solange dein Konto besteht. Löschst du dein Konto, wird der Nachweis um den Zeitpunkt der Löschung und einen pseudonymen Hashwert deiner E-Mail-Adresse ergänzt (nicht die Adresse selbst) und zusammen mit deiner Nutzer-ID bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren ab dem Ende des Jahres der Kontolöschung (§§ 195, 199 BGB) aufbewahrt – ausschließlich zur Verteidigung gegen Rechtsansprüche (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO). Danach wird er automatisch gelöscht. Hast du nie eingewilligt, existiert kein Nachweis.
• Server- und Funktionsprotokolle: Zugriffsprotokolle (Abschnitt 9) werden von unserem Backend-Dienstleister nach 7 Tagen automatisch gelöscht.
• Sicherungskopien: täglich erstellt, 7 Tage aufbewahrt, danach automatisch gelöscht. Löschst du Daten, sind sie im Live-System sofort entfernt; in den Sicherungskopien können sie noch bis zu 7 Tage enthalten sein. Auf Sicherungskopien wird ausschließlich im Wiederherstellungsfall zugegriffen.
• Reichweitendaten: pseudonym (Abschnitt 14); beim Anbieter werden sie nach 6 Monaten automatisch gelöscht.
• Daten auf deinem Gerät: bis zum Abmelden, zur Kontolöschung oder zum Haushaltswechsel (Offline-Spiegel und Sitzung) bzw. bis du die Website-Daten in deinem Browser löschst (Abschnitt 9).
• Anfragen per E-Mail: bis zur abschließenden Bearbeitung, spätestens zwölf Monate danach; unterliegt eine Nachricht gesetzlichen Aufbewahrungspflichten (geschäftliche Korrespondenz), bis zu zehn Jahre (Abschnitt 16).

8. Rechte der betroffenen Personen

Als betroffene Person stehen dir nach der DSGVO insbesondere folgende Rechte zu:

• Auskunft (Art. 15): Auskunft darüber, ob und welche personenbezogenen Daten wir über dich verarbeiten.
• Berichtigung (Art. 16): Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten. Anzeigename, Vorräte, Listen, Rezepte, Produktanpassungen und Vorlieben kannst du direkt in der App ändern.
• Löschung (Art. 17): Löschung deiner Daten, soweit die gesetzlichen Voraussetzungen vorliegen. Dein Konto kannst du in den Einstellungen selbst löschen (Abschnitt 7). Gemeinsame Daten eines geteilten Haushalts bleiben dabei den übrigen Mitgliedern erhalten (Abschnitt 11).
• Einschränkung der Verarbeitung (Art. 18) unter den gesetzlichen Voraussetzungen.
• Datenübertragbarkeit (Art. 20): die von dir bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format. Eine Exportfunktion gibt es in der App nicht; auf Anfrage stellen wir dir deine Konto- und Haushaltsdaten als JSON-Datei bereit.
• Widerruf von Einwilligungen (Art. 7 Abs. 3): jederzeit mit Wirkung für die Zukunft; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt. Die Einwilligung in die KI-Funktionen widerrufst du in den Einstellungen im Bereich „Konto“ („Einwilligung widerrufen und Angaben löschen“); dabei werden deine Vorlieben für Rezepte gelöscht; bereits erzeugte Einträge, Rezepte und Produktanpassungen bleiben, bis du sie löschst (Abschnitt 13).
• Beschwerde bei einer Aufsichtsbehörde (Art. 77): unbeschadet anderer Rechtsbehelfe, insbesondere im Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Die für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg), Stahnsdorfer Damm 77, 14532 Kleinmachnow, Telefon 033203 356-0, E-Mail Poststelle@LDA.Brandenburg.de.

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an die in Abschnitt 1 genannte Kontaktadresse, am besten von der E-Mail-Adresse deines Pastro-Kontos. Haben wir begründete Zweifel an deiner Identität, dürfen wir zusätzliche Angaben verlangen (Art. 12 Abs. 6 DSGVO). Wir antworten innerhalb eines Monats; in komplexen Fällen kann sich diese Frist um bis zu zwei Monate verlängern, worüber wir dich innerhalb des ersten Monats informieren (Art. 12 Abs. 3 DSGVO).

9. Bereitstellung der App, Hosting und lokale Speicherung

Hosting und Zugriffsdaten. Pastro wird auf der Infrastruktur unseres Backend-Dienstleisters Appwrite ausgeliefert (Region Frankfurt am Main; zu Drittlandzugriffen siehe Abschnitt 6). Beim Aufruf der App und bei jeder Kommunikation mit den Servern – auch über die Echtzeit-Verbindung und bei jedem Aufruf einer Serverfunktion, etwa für die KI-Verarbeitung – werden technisch erforderliche Daten verarbeitet und protokolliert: IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource bzw. Funktion, Statuscode, Browser- und Betriebssystemkennung sowie bei Kontoaktionen der aus der IP-Adresse abgeleitete ungefähre Standort. Diese Protokolle dienen der Auslieferung der App, der Stabilität, der Sicherheit und der Erkennung von Missbrauch. Sie werden nach 7 Tagen automatisch gelöscht. Inhalte deiner Anfragen (Bilder, Aufnahmen, Texte) werden nicht protokolliert. Die App verbindet sich von sich aus nur mit den Servern von Appwrite und – für die Reichweitenmessung (Abschnitt 14) – von Umami; Schriften, Bilder, Emoji-Daten und Skripte liefern wir von unserem eigenen Server aus, es wird kein Content-Delivery-Netzwerk und keine Google-Schriftart geladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren und störungsfreien Betrieb) sowie Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung der Bereitstellung der von dir angefragten Funktionen dient.

Lokale Speicherung auf deinem Gerät. Pastro ist eine installierbare Progressive Web App. Für ihren Betrieb werden Informationen auf deinem Gerät gespeichert und ausgelesen:

• ein Sitzungs-Cookie unseres Backend-Dienstleisters, das dich nach der Anmeldung als angemeldet ausweist. Blockiert dein Browser dieses Cookie (es gehört zur Adresse des Dienstleisters, nicht zu pantry.pastro.app), legt die App den Sitzungsschlüssel stattdessen im lokalen Speicher deines Browsers ab (cookieFallback). Beides besteht, bis du dich abmeldest, längstens ein Jahr;
• ein Service Worker mit Zwischenspeicher für App-Dateien (schnellere Auslieferung, Offline-Fähigkeit),
• ein Offline-Spiegel (IndexedDB) mit einer Kopie deiner Haushaltsdaten (Vorrat, Kaufhistorie der letzten 12 Monate, Einkaufslisten, Rezepte, Rezeptanfragen, Produktanpassungen) und deiner Kontodaten (Nutzer-ID, Anzeigename, E-Mail-Adresse, Einstellungen, Zeitpunkt des letzten Zugriffs), damit die App sofort und auch ohne Internetverbindung startet und deinen Vorrat anzeigt; deine Vorlieben für Rezepte werden nicht gespiegelt. Er wird bei jeder erfolgreichen Verbindung mit dem Server vollständig überschrieben und beim Abmelden, bei der Kontolöschung, beim Haushaltswechsel und bei Ablauf deiner Sitzung gelöscht,
• eine Offline-Warteschlange (IndexedDB), in der Änderungen an deinen Daten zwischengespeichert werden, wenn keine Internetverbindung besteht, und die beim nächsten Verbindungsaufbau an den Server übertragen wird,
• die Daten der Emoji-Auswahl (IndexedDB): die Emoji-Liste selbst, dein gewählter Hautton und welche Emojis du zuletzt verwendet hast, damit sie vorn stehen,
• Einträge im lokalen Speicher (localStorage) für reine Geräteeinstellungen: das gewählte Farbschema, ob die Hinweise zum Wischen und zur Installation bereits gezeigt wurden, ob der Hinweis zu den Produktanpassungen gezeigt wurde, sowie ein Zeitstempel, wann der Hinweis auf die freiwillige Unterstützung zuletzt erschienen ist, und ein Zähler erfolgreicher KI-Anfragen, der bestimmt, wann er erstmals erscheint (Abschnitt 15).

Keiner dieser Einträge enthält eine Kennung, mit der du außerhalb deines Kontos wiedererkannt werden könntest, und keiner wird zu Werbe- oder Tracking-Zwecken verwendet. Diese Speicherung ist erforderlich, um die von dir ausdrücklich angeforderte App bereitzustellen – Anmeldung, Offline-Betrieb, deine Einstellungen und das Merken bereits gezeigter Hinweise, damit du nicht erneut gefragt wirst –, und daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Du kannst alle Einträge jederzeit über die Website-Daten deines Browsers löschen; die App legt sie beim nächsten Start neu an, soweit sie gebraucht werden.

Kamera, Dateien und Mikrofon. Für das Fotografieren oder Hochladen eines Kassenbons bzw. einer PDF-Datei und für die Spracheingabe greift Pastro erst nach deiner Auswahl bzw. deiner Freigabe im Browser auf Kamera, Dateiauswahl oder Mikrofon zu. Ein Foto wird erst übertragen, nachdem du es zugeschnitten und bestätigt hast. Der Mikrofonzugriff besteht nur während einer laufenden Aufnahme; verwirfst du eine Aufnahme, wird sie auf deinem Gerät gelöscht und nie übertragen. Während einer Aufnahme kann Pastro den Bildschirm wach halten (Wake Lock), damit die Aufnahme nicht durch die Bildschirmsperre abbricht; dabei werden keine Daten erhoben.

10. Registrierung, Anmeldung und Nutzerkonto

Für die Nutzung von Pastro ist ein Nutzerkonto erforderlich. Pastro richtet sich an Personen ab 16 Jahren (Abschnitt 2 der Nutzungsbedingungen). Du hast zwei Möglichkeiten zur Anmeldung:

• E-Mail-Einmalcode (passwortlos): Du gibst deine E-Mail-Adresse an und erhältst einen Einmalcode, mit dem du dich anmeldest. Mit der Anforderung des Codes wird technisch bereits ein Konto mit deiner E-Mail-Adresse angelegt; gibst du den Code nie ein, wird es nach 10 Tagen automatisch gelöscht (Abschnitt 7). Der Versand dieser E-Mails – ebenso der Einladungs-E-Mails für Haushalte – erfolgt über unseren Backend-Dienstleister und dessen E-Mail-Versanddienste (Abschnitt 5 und 6).
• Google-Konto: Die Anmeldung wird über Google abgewickelt; Google handelt dabei in eigener Verantwortung. Wir erhalten von Google deine E-Mail-Adresse und deinen Namen, wie er in deinem Google-Konto hinterlegt ist, sowie die Information, ob Google die Adresse bestätigt hat. Der Name wird als Anzeigename in Pastro übernommen; du kannst ihn jederzeit in den Einstellungen ändern. Unser Backend-Dienstleister speichert die Verknüpfung zu deinem Google-Konto (Google-Nutzerkennung sowie die von Google ausgestellten Zugriffsschlüssel), damit spätere Anmeldungen deinem Konto zugeordnet werden können; für andere Zwecke verwenden wir diese Schlüssel nicht. Weitere Berechtigungen bei Google fordern wir nicht an. Anzeigename und E-Mail-Adresse sind für die Mitglieder deines Haushalts sichtbar (Abschnitt 11).

Im Rahmen des Nutzerkontos verarbeiten wir:

• deine E-Mail-Adresse (Anmeldung, notwendige Service-Nachrichten, Zuordnung einer freiwilligen Unterstützung – Abschnitt 15),
• deinen Anzeigenamen,
• deine Nutzer-ID, den Zeitpunkt der Registrierung und des letzten Zugriffs sowie den Bestätigungsstatus deiner E-Mail-Adresse,
• Sitzungsdaten: Zu jeder Anmeldung speichert unser Backend-Dienstleister die IP-Adresse, das daraus abgeleitete Land, Browser, Betriebssystem und Gerätetyp. Das dient der Verwaltung deiner Sitzungen und der Sicherheit deines Kontos. Eine Sitzung endet, wenn du dich abmeldest, spätestens nach einem Jahr (Abschnitt 7).
• Kontoeinstellungen: Zuordnung zu deinem Haushalt, Farbschema, App-Sprache, ausgeblendete Navigationsbereiche, gewünschte Rezeptanzahl je Anfrage, Reihenfolge deiner Einkaufslisten, die von dir akzeptierte Fassung der Nutzungsbedingungen sowie die Zeitpunkte deiner KI-Einwilligung und ihres Widerrufs (diese steuern nur, ob die KI-Funktionen freigeschaltet sind; der Nachweis liegt getrennt, Abschnitt 7),
• eine serverseitig gesetzte Kennzeichnung als Unterstützer, falls du Pastro über Buy Me a Coffee unterstützt (Abschnitt 15),
• optional deine Vorlieben für Rezepte (Abschnitt 13.3), die getrennt und verschlüsselt gespeichert werden und nur für dich lesbar sind.

Deine E-Mail-Adresse wird nicht zu Werbezwecken verwendet und an keine anderen Stellen weitergegeben als an die in Abschnitt 5 genannten Dienstleister und, innerhalb deines Haushalts, an die übrigen Mitglieder (Abschnitt 11).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Sitzungsdaten zusätzlich Art. 6 Abs. 1 lit. f DSGVO (unser und dein Interesse an der Sicherheit des Kontos).

Erforderlichkeit der Bereitstellung: Die E-Mail-Adresse (bzw. ein Google-Konto) ist erforderlich, um ein Nutzerkonto anzulegen; ohne sie können wir die App nicht bereitstellen. Alle weiteren Angaben sind freiwillig; die KI-Funktionen setzen deine Einwilligung voraus, alle übrigen Funktionen kannst du ohne sie nutzen. Es besteht keine gesetzliche oder vertragliche Pflicht, uns darüber hinaus Daten bereitzustellen.

11. Geteilte Haushalte

Pastro ermöglicht es, einen Haushalt gemeinsam mit anderen Personen zu nutzen. Eingeladene Mitglieder können auf die gemeinsamen Inhalte zugreifen: Vorrat, Kaufhistorie und Statistiken, Einkaufslisten, gespeicherte Produktanpassungen, Rezepte und den Verlauf der Rezeptanfragen.

• Einladungen: Du gibst die E-Mail-Adresse der einzuladenden Person an; lade nur Personen ein, die damit einverstanden sind (Nutzungsbedingungen, Abschnitt 2). Sie erhält über unseren Backend-Dienstleister eine Einladungs-E-Mail mit einem Link; auf der Seite, die sich damit öffnet, sieht sie diese Datenschutzerklärung und die Nutzungsbedingungen, bevor sie die Einladung annimmt. Die Einladung ist 10 Tage gültig und wird danach automatisch gelöscht. Wird eine Adresse eingeladen, zu der noch kein Konto besteht, wird technisch ein vorläufiges Konto angelegt, das nur die E-Mail-Adresse und einen zufällig vergebenen Anzeigenamen enthält; wird die Einladung nicht angenommen, wird dieses Konto nach 10 Tagen automatisch gelöscht.
• Sichtbarkeit: Innerhalb eines Haushalts sind die gemeinsamen Inhalte sowie Anzeigename, E-Mail-Adresse und Rolle der Mitglieder für die übrigen Mitglieder sichtbar (Mitgliederliste in der Haushaltsverwaltung), ebenso offene Einladungen mit der eingeladenen E-Mail-Adresse. Das gilt auch für den Freitext deiner Rezeptanfragen. Das Löschen eines Rezepts oder Eintrags entfernt ihn für alle Mitglieder. Nicht für andere sichtbar sind deine Vorlieben für Rezepte und deine Einstellungen.
• KI-Funktionen im Haushalt: Nutzt ein Mitglied die KI-Funktionen (Abschnitt 13), werden dabei auch gemeinsame Haushaltsdaten an den KI-Anbieter übermittelt: bei Rezeptvorschlägen der gesamte Vorrat des Haushalts (Bezeichnungen, Mengen, Restlaufzeiten), bei der Belegerfassung und Spracheingabe die gespeicherten Produktanpassungen. Trage deshalb in einen geteilten Haushalt nur Daten ein, die auch so verarbeitet werden dürfen.
• Verbleib der Daten: Tritt ein Mitglied aus oder löscht sein Konto, bleiben die gemeinsamen Haushaltsdaten für die übrigen Mitglieder erhalten (Abschnitt 7). Nimmst du eine Einladung in einen anderen Haushalt an, wechselst du dorthin; dein bisheriger Haushalt wird gelöscht, wenn du sein einziges Mitglied warst, andernfalls bleibt er den übrigen Mitgliedern erhalten. Bitte gib daher nur Daten in einen geteilten Haushalt ein, die für die anderen Mitglieder bestimmt sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewählten Haushaltsfunktion, einschließlich der Nutzung der gemeinsamen Daten durch die übrigen Mitglieder – auch in den KI-Funktionen). Gegenüber der eingeladenen Person beruht die Verarbeitung ihrer E-Mail-Adresse zur Zustellung der Einladung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des einladenden Mitglieds und der eingeladenen Person, den Haushalt gemeinsam zu nutzen); die Einladungs-E-Mail dient allein der Zustellung der Einladung und enthält keine Werbung. Für die automatische Löschung abgelaufener Einladungen und nie genutzter Konten gilt Art. 6 Abs. 1 lit. f DSGVO (Datenminimierung, Art. 5 Abs. 1 lit. e DSGVO).

12. Kernfunktionen: Vorrat, Einkaufsliste, Rezepte und Statistiken

Zur Erfüllung des eigentlichen Zwecks der App verarbeiten wir die von dir eingegebenen bzw. erzeugten Inhaltsdaten:

• Vorrat: Bezeichnung, Kategorie, Menge, Preis, Kaufdatum, geschätztes Ablaufdatum und ein optionales Icon je Lebensmittel, dazu die Angabe, ob der Eintrag von Hand oder per KI angelegt wurde.
• Kaufhistorie: Zu jedem angelegten Lebensmittel wird ein Eintrag mit Kategorie, Preis, Menge und Kaufdatum gespeichert – ohne die Bezeichnung und ohne Zuordnung zu einer Person –, der auch nach dem Verbrauch bestehen bleibt (Abschnitt 7).
• Einkaufslisten: von dir angelegte Listen und deren Einträge, einschließlich Zutaten, die du aus einem Rezept übernimmst.
• Produktanpassungen („Pastro lernt mit“): Passt du Haltbarkeit, Kategorie oder Icon eines Lebensmittels an, merkt sich Pastro Bezeichnung, Haltbarkeit in Tagen, Kategorie und Icon für deinen Haushalt und berücksichtigt sie bei künftigen Erfassungen (Abschnitt 13). Die gespeicherten Anpassungen siehst und löschst du in den Einstellungen.
• Rezepte: selbst erstellte Rezepte sowie KI-Vorschläge (Abschnitt 13.3) mit Titel, Zutaten, Zubereitung, Tipp, Kategorie, Tags, Portionen und einer geschätzten Kalorienangabe; dazu die Kennzeichnung als Favorit. Markierst du ein Rezept als „gekocht“, werden die verwendeten Mengen von deinem Vorrat abgezogen.
• Statistiken: Auswertungen deines Haushalts für die letzten 12 Monate: Ausgaben und eine daraus pauschal geschätzte Ersparnis (aus der Kaufhistorie), Verteilung nach Kategorien sowie eine Übersicht, wie viel deines Vorrats noch frisch, bald abgelaufen oder abgelaufen ist (aus dem Vorrat).

Ablaufdaten, Kalorienangaben und die „Ersparnis“ sind automatisiert geschätzt und unverbindlich; was das für dich bedeutet, steht in Abschnitt 3 der Nutzungsbedingungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

13. KI-gestützte Funktionen

Pastro bietet drei optionale Funktionen, die auf Künstlicher Intelligenz beruhen: die Belegerfassung aus Kassenbons (13.1), die Spracheingabe von Vorräten (13.2) und Rezeptvorschläge aus deinem Vorrat (13.3). Für alle drei gilt gemeinsam:

Einwilligung. Weder die App noch unsere Serverfunktionen führen eine dieser Funktionen ohne deine vorherige Einwilligung aus. Vor der ersten Nutzung zeigt dir die App einen Hinweis, welche Daten zu welchem Zweck an welchen Anbieter gehen und was dort mit ihnen geschieht, und du kannst einwilligen oder ablehnen. Ohne Einwilligung findet keine KI-Verarbeitung statt; alle übrigen Funktionen bleiben nutzbar (Lebensmittel und Rezepte kannst du auch manuell erfassen). Deine Einwilligung und ihren Widerruf halten wir als Nachweis fest (Abschnitt 7). Die Einwilligung umfasst ausdrücklich auch den Fall, dass ein Beleg, eine Aufnahme oder eine Eingabe ausnahmsweise Angaben enthält, die Rückschlüsse auf deine Gesundheit oder Überzeugungen zulassen (Abschnitt 3).

Widerruf. In den Einstellungen im Bereich „Konto“ über „Einwilligung widerrufen und Angaben löschen“, jederzeit mit Wirkung für die Zukunft. Dabei werden deine Vorlieben für Rezepte gelöscht; bereits angelegte Einträge, Rezepte, Rezeptanfragen und Produktanpassungen bleiben, bis du sie löschst. Auch den Widerruf halten wir fest. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Haushaltsdaten. Die KI-Funktionen arbeiten mit den Daten deines Haushalts: Rezeptvorschläge mit dem gesamten Vorrat, Belegerfassung und Spracheingabe mit den gespeicherten Produktanpassungen. Diese Daten gehen also auch dann an den KI-Anbieter, wenn ein anderes Mitglied deines Haushalts die Funktion nutzt (Abschnitt 11).

Verarbeitungsort und Anbieter. Die Verarbeitung beginnt in serverseitigen Funktionen bei unserem Backend-Dienstleister in Frankfurt am Main (EU). Als KI-Anbieter setzen wir ausschließlich Mistral AI ein (Mistral AI, 15 rue des Halles, 75001 Paris, Frankreich, EU) – für Texterkennung (OCR), Sprachtranskription und Textgenerierung. Mistral verarbeitet die Daten nach eigenen Angaben standardmäßig in der EU (Abschnitt 5 und 6). Es wird kein weiterer KI-Dienst und insbesondere keine Spracherkennung des Browsers oder Betriebssystems verwendet.

Speicherung beim KI-Anbieter. Mistral AI verarbeitet die Daten als unser Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Die übermittelten Eingaben und Ausgaben werden nicht zum Training der Modelle verwendet; wir haben diese Nutzung in unserem Konto ausdrücklich ausgeschlossen. Zur automatisierten Erkennung von Missbrauch seiner Schnittstelle behält Mistral AI die übermittelten Eingaben und Ausgaben nach seiner Datenschutzerklärung bis zu 30 Tage und löscht sie anschließend; für diese Prüfung ist Mistral AI selbst verantwortlich, es gilt insoweit die Datenschutzerklärung von Mistral AI (legal.mistral.ai).

Hintergrundverarbeitung. Die Verarbeitung läuft auf unseren Servern weiter, auch wenn du die App zwischenzeitlich schließt. Ergebnisse erscheinen beim nächsten Öffnen bzw. per Echtzeit-Aktualisierung.

Begrenzung. Die Zahl der KI-Anfragen ist auf 10 pro Woche begrenzt; der Zähler gilt für den gesamten Haushalt, wird serverseitig geführt und zusätzlich je Person mitgezählt, damit ein Wechsel des Haushalts kein neues Kontingent bringt (Abschnitt 7). Eine freiwillige Unterstützung (Abschnitt 15) hebt diese Grenze nicht an.

Kennzeichnung und Grenzen der KI (Verordnung (EU) 2024/1689, Art. 50). Alle Ergebnisse der KI-Funktionen sind automatisiert erzeugt und können Fehler enthalten: erkannte Artikel, geschätzte Haltbarkeiten, Rezepte, Kalorienangaben. Im Rezept-Chat interagierst du mit einem KI-System; KI-erzeugte Rezepte sind in der App als solche gekennzeichnet und in unseren Daten als KI-Ergebnis markiert. Bitte prüfe die Ergebnisse – insbesondere Zutaten, wenn du Allergien oder Unverträglichkeiten hast. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), für mittelbar sensible Angaben Art. 9 Abs. 2 lit. a DSGVO (Abschnitt 3); gegenüber den übrigen Mitgliedern deines Haushalts für die gemeinsamen Daten Art. 6 Abs. 1 lit. b DSGVO (Abschnitt 11); für den Einwilligungsnachweis Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO; für die Begrenzung der Anfragen Art. 6 Abs. 1 lit. f DSGVO.

13.1 Belegerfassung (Kassenbon als Foto, Bild oder PDF)

Du kannst einen Kassenbon fotografieren, ein Bild hochladen oder den Bon als PDF-Datei (bis zu 10 Seiten) übermitteln. Bilder kannst du vor dem Absenden zuschneiden. Die Datei wird an unsere Serverfunktion übermittelt, dort per Texterkennung ausgelesen, und aus dem erkannten Belegtext werden die Artikel strukturiert extrahiert. Dabei erhält das Sprachmodell den vollständigen erkannten Belegtext – also auch Datum, Filiale, Summe und Zahlungsart, soweit sie auf dem Bon stehen –, das aktuelle Datum und deine gespeicherten Produktanpassungen (Bezeichnung, Haltbarkeit, Kategorie, Icon; höchstens 200), damit deine Korrekturen berücksichtigt werden. Die erkannten Artikel landen in deinem Vorrat; die geschätzten Ablaufdaten berechnet unser System aus dem Kaufdatum und der geschätzten Haltbarkeit.

Verarbeitete Daten: die Beleg-Datei und die daraus erkannten Inhalte. Ein Kassenbon kann personenbezogene Daten enthalten (z. B. Datum/Uhrzeit, Filiale, Zahlungsart, gekaufte Produkte, Namen von Kassenpersonal). Bitte übermittle keine Belege, die du nicht verarbeiten lassen möchtest, und Belege anderer Personen nur mit deren Einverständnis. Die Datei wird in Pastro nicht gespeichert (Abschnitt 7).

13.2 Spracheingabe (Vorrat einsprechen)

Du kannst deinen Vorrat einsprechen. Die Aufnahme erfolgt lokal auf deinem Gerät, nachdem du den Mikrofonzugriff freigegeben hast; du kannst sie pausieren, verwerfen oder beenden. Nach dem Beenden wird sie an unsere Serverfunktion übermittelt, von einem Transkriptionsmodell von Mistral AI in Text umgewandelt und anschließend von einem Sprachmodell in Lebensmittel-Einträge strukturiert. Zur besseren Erkennung werden die eingestellte App-Sprache und bis zu 100 Bezeichnungen aus deinen Produktanpassungen an die Transkription und danach die Produktanpassungen mit allen Angaben (Bezeichnung, Haltbarkeit, Kategorie, Icon; höchstens 200, wie in 13.1) an das Sprachmodell mitgegeben.

Verarbeitete Daten: die Sprachaufnahme, der daraus erzeugte Text und die erkannten Artikel. Die Aufnahme dient ausschließlich der Umwandlung in Text; eine Identifizierung deiner Person anhand der Stimme findet nicht statt. Bitte sprich nur ein, was du erfassen möchtest, und achte darauf, dass keine anderen Personen mit aufgenommen werden. Die Aufnahme wird in Pastro nicht gespeichert (Abschnitt 7).

13.3 Rezeptvorschläge

Du kannst dir im Rezept-Chat Gerichte vorschlagen lassen, die zu deinem Vorrat passen – wahlweise mit einem Wunsch im Freitext (z. B. „etwas Leichtes zum Abendessen“). Deine Anfrage wird zusammen mit einer Liste des Vorrats deines Haushalts (Bezeichnungen, Mengen und Restlaufzeiten, höchstens 150 Einträge), der App-Sprache, dem aktuellen Datum, der gewünschten Anzahl und – sofern hinterlegt – deinen Vorlieben an unsere Serverfunktion übermittelt. Die KI erzeugt daraus die gewünschte Zahl an Rezeptvorschlägen, die in deinem Haushalt gespeichert und im Chat angezeigt werden. Passt ein Vorschlag nicht zum Vorrat, fragt die Serverfunktion das Modell mit demselben Gesprächsverlauf ein zweites Mal.

Vorlieben (freiwillig). Du kannst Vorlieben hinterlegen, die bei jeder Rezeptanfrage automatisch mitgesendet werden – zum Beispiel „scharf, keine Pilze, maximal 30 Minuten“. Sie sind für Geschmack und Kochgewohnheiten gedacht; bitte trage keine Allergien, Unverträglichkeiten, Krankheiten oder religiösen Gründe ein (siehe Abschnitt 3). Die Vorlieben werden verschlüsselt gespeichert, sind allein für dich lesbar und für Haushaltsmitglieder nicht sichtbar. Speichern kannst du sie auch ohne KI-Einwilligung; gesendet werden sie nur mit einer Rezeptanfrage. Du kannst sie jederzeit ändern oder löschen; beim Widerruf der KI-Einwilligung werden sie gelöscht.

Verarbeitete Daten: dein Anfragetext, die Vorratsliste, ggf. die Vorlieben sowie die erzeugten Rezepte. Nicht favorisierte Vorschläge und ihre Anfragen werden automatisch aufgeräumt (Abschnitt 7). Anfragetexte sind für die Mitglieder deines Haushalts sichtbar (Abschnitt 11).

14. Reichweitenmessung mit Umami

Wir nutzen den Webanalysedienst Umami (Anbieter: Umami Software, Inc., San Francisco, USA), um zu sehen, wie viele Menschen Pastro nutzen, welche Funktionen sie verwenden und wo Fehler auftreten, und die App danach zu verbessern. Beim Laden der App lädt dein Browser ein Skript von den Servern des Anbieters und sendet Nutzungsereignisse dorthin; dabei übermittelt er technisch bedingt deine IP-Adresse.

Was erfasst wird:

• Seitenaufrufe innerhalb der App und Ereignisse, die wir im Code ausgelöst haben (z. B. „Scan gestartet“, „Rezept generiert“, „Onboarding abgeschlossen“), jeweils ohne Inhalte: Es werden weder Belegtexte, Transkripte, Rezept- oder Anfragetexte noch Vorlieben, Namen oder E-Mail-Adressen übermittelt. Zu einzelnen Ereignissen werden technische Merkmale erfasst, etwa ein Fehlergrund, eine Kategorie oder eine Anzahl. Parameter aus Web-Adressen werden vor der Übermittlung entfernt.
• Technische Angaben, die das Skript aus deinem Browser ausliest oder die dein Browser mitsendet: Browser, Betriebssystem, Gerätetyp, Sprache, Bildschirmgröße und die zuvor besuchte Seite (Referrer).
• Aus der IP-Adresse abgeleitet: der ungefähre Standort (Land, Region, Stadt). Die IP-Adresse selbst speichert Umami nach eigenen Angaben nicht; Unterauftragsverarbeiter in den USA verarbeiten sie vorübergehend zur Auslieferung des Skripts, zur Netzwerksicherheit und zur Protokollierung (Abschnitt 6).

So arbeitet Umami:

• Es werden keine Cookies gesetzt und keine Kennungen auf deinem Gerät gespeichert.
• Um Besuche derselben Person zu unterscheiden, bildet Umami aus Angaben wie Website, Browser-Kennung und IP-Adresse zusammen mit einem geheimen Wert einen Hashwert. Dieser geheime Wert wechselt zu Beginn jedes Monats. Innerhalb eines Monats kann Umami wiederkehrende Besuche derselben Person also pseudonym zuordnen, danach nicht mehr. Über andere Websites hinweg findet keine Wiedererkennung statt.
• Wir verknüpfen die Reichweitendaten nicht mit deinem Konto und werten keine einzelnen Personen aus; wir sehen Summen, Verläufe und Ereignishäufigkeiten.
• Die Daten werden in der EU-Region des Dienstes gespeichert (Abschnitt 5 und 6) und beim Anbieter nach 6 Monaten automatisch gelöscht.

Widerspruch. Du kannst die Reichweitenmessung jederzeit für dein Gerät abschalten: in den Einstellungen unter „Nutzungsstatistik“. Die App legt dann einen Eintrag umami.disabled in deinem lokalen Speicher ab, der das Skript stummschaltet; sonst wird nichts gespeichert. Außerdem respektiert das Skript die Einstellung „Do Not Track“ deines Browsers.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen Reichweitenmessung und Verbesserung der App). Für die Abwägung sprechen: keine Cookies, keine Werbung, kein Verkauf oder Teilen von Daten, keine Verknüpfung mit deinem Konto, keine Inhalte, pseudonyme Zuordnung nur innerhalb eines Monats, Speicherung in der EU und ein einfacher Widerspruch. Das Skript speichert nichts auf deinem Gerät und liest nur die oben genannten technischen Angaben aus, die es für die Zählung braucht; eine Einwilligung nach § 25 TDDDG holen wir deshalb nicht ein.

15. Freiwillige Unterstützung über Buy Me a Coffee

Pastro ist kostenlos und ohne Werbung. Wer möchte, kann das Projekt freiwillig über die Plattform Buy Me a Coffee unterstützen. Die Unterstützung schaltet keine Funktionen frei und hebt keine Begrenzung auf; alle Funktionen stehen allen Nutzerinnen und Nutzern gleichermaßen zur Verfügung.

• Externer Anbieter: Die Unterstützungsseite wird in einem neuen Tab bei Buy Me a Coffee geöffnet; in der App ist nichts von Buy Me a Coffee eingebettet. Anbieter ist Publisherr Inc., 2193 Fillmore Street, San Francisco, CA 94115, USA, mit Zahlungsabwicklung über Stripe. Für alle Daten, die du dort eingibst (Zahlungsdaten, Name, E-Mail-Adresse, Nachricht), ist Buy Me a Coffee eigenständig verantwortlich; es gilt dessen Datenschutzerklärung (buymeacoffee.com/privacy-policy). Die Verarbeitung erfolgt dort auch in den USA.
• Was wir von Buy Me a Coffee erhalten: Beginnt, ändert sich, pausiert oder endet eine monatliche Unterstützung, informiert uns Buy Me a Coffee automatisiert über dieses Ereignis und übermittelt dabei die dort hinterlegten Angaben (insbesondere E-Mail-Adresse und Status der Unterstützung, je nach Ereignis auch Name, Betrag und Nachricht). Wir verwenden nur die E-Mail-Adresse und den Status: Wir gleichen die Adresse mit den Konten in Pastro ab und setzen bzw. entfernen an einem passenden Konto eine Kennzeichnung als Unterstützer. Alles Weitere speichern wir nicht; Beträge, Namen oder Zahlungsdaten werden weder gespeichert noch protokolliert. Gibt es kein Konto mit dieser Adresse, verwerfen wir die Information.
• Wozu die Kennzeichnung dient: Sie steuert ausschließlich, ob dir in der App der Hinweis auf die Unterstützungsmöglichkeit angezeigt wird. Wann dieser Hinweis erstmals und wie oft er erscheint, wird nur lokal auf deinem Gerät gezählt (Abschnitt 9).
• Einmalige Unterstützungen: Dazu speichern wir nichts; eine Kennzeichnung entsteht nur bei monatlicher Unterstützung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Unterstützende zu erkennen und nicht wiederholt um Unterstützung zu bitten – und dein Interesse, den Hinweis nicht mehr zu sehen); soweit die Kennzeichnung Teil der von dir gewählten Unterstützung ist, auch Art. 6 Abs. 1 lit. b DSGVO.

16. Kontaktaufnahme

Wenn du uns kontaktierst – etwa über die Feedback-Funktion der App, die dein E-Mail-Programm mit der Adresse contact@pastro.app öffnet –, verarbeiten wir deine E-Mail-Adresse, den Inhalt deiner Nachricht und weitere Angaben, die du freiwillig machst, um deine Anfrage zu bearbeiten.

Das Kontakt-Postfach wird über Google Workspace betrieben. Anbieter ist Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland, mit dem ein Auftragsverarbeitungsvertrag besteht. Google empfängt, speichert und verarbeitet die Nachrichten technisch; dabei kann eine Übermittlung an Google LLC in den USA erfolgen, die durch das EU-US Data Privacy Framework und ergänzend durch Standardvertragsklauseln abgesichert ist (Abschnitt 6). Möchtest du das nicht, kannst du uns auch per Post an die Anschrift in Abschnitt 1 schreiben.

Anfragen löschen wir, sobald sie abschließend bearbeitet sind, spätestens zwölf Monate danach. Unterliegt eine Nachricht gesetzlichen Aufbewahrungspflichten – etwa als geschäftliche Korrespondenz nach Handels- und Steuerrecht –, bewahren wir sie bis zu zehn Jahre auf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfragen im Zusammenhang mit der Nutzung der App) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen); für die Aufbewahrung nach Handels- und Steuerrecht Art. 6 Abs. 1 lit. c DSGVO.

17. Änderung dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung dies erforderlich machen (neue Funktionen, geänderte Dienstleister oder Unterauftragsverarbeiter, geänderte Rechtslage). Es gilt jeweils die aktuelle, in der App (pantry.pastro.app) verlinkte Fassung; das Stand-Datum steht am Anfang, frühere Fassungen schicken wir dir auf Anfrage. Bei wesentlichen Änderungen informieren wir dich in geeigneter Weise, etwa durch einen Hinweis in der App. Ändert sich die KI-Verarbeitung wesentlich, fragen wir dich erneut um deine Einwilligung.