Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten nach Art. 13, 14 DSGVO

1. Verantwortlicher

2. Grundsätzliches in Kurzform

• Diese Website setzt keine Cookies und bindet keine Analyse- oder Trackingdienste ein. Es werden auch sonst keine Informationen in deinem Endgerät gespeichert oder ausgelesen, sodass es keiner Einwilligung nach § 25 TDDDG bedarf.
• Es gibt kein Nutzerprofil, keine Werbung und keinen Weiterverkauf von Daten – weder auf der Website noch in der App.
• In der App werden Daten standardmäßig nur lokal auf deinem Gerät gespeichert.
• Deine Gewohnheiten bleiben immer lokal – sie werden auch bei aktiviertem Sync nie an einen Server übertragen und sind für niemanden außer dir sichtbar.
• Nur wenn du den optionalen Cloud-Sync nutzt, wird ein Konto angelegt – mit deiner E-Mail-Adresse und einem verschlüsselten Passwort-Hash.

3. Hosting

Diese Website wird gehostet bei:

Der Hoster verarbeitet in meinem Auftrag die Daten, die beim Aufruf der Website anfallen (siehe Abschnitt 4). Grundlage ist ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO. Die Server stehen in Deutschland.

Rechtsgrundlage für den Einsatz des Hosters ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse besteht in der sicheren, stabilen und effizienten Bereitstellung dieses Angebots.

Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du an „https://“ in der Adresszeile deines Browsers.

4. Server-Logfiles

Beim Aufruf der Website erhebt der Hoster automatisch Informationen, die dein Browser übermittelt:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei sowie übertragene Datenmenge
• Referrer-URL (die zuvor besuchte Seite)
• Browsertyp, Browserversion und verwendetes Betriebssystem

Diese Daten sind technisch erforderlich, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abwehren zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Eine Zusammenführung dieser Daten mit anderen Datenquellen oder eine Auswertung zu Marketingzwecken findet nicht statt. Die Logfiles werden nach spätestens sieben Tagen gelöscht, soweit sie nicht ausnahmsweise zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

5. Keine externen Ressourcen

Diese Website lädt keine Inhalte von Servern Dritter. Schriftarten, Grafiken, Skripte und sämtliche Gestaltungselemente werden ausschließlich vom eigenen Server ausgeliefert. Beim Aufruf der Seite wird daher keine Verbindung zu externen Anbietern aufgebaut und keine IP-Adresse an Dritte übermittelt – insbesondere werden keine Schriftarten von Google Fonts oder vergleichbaren Diensten nachgeladen.

6. Kontaktaufnahme per E-Mail

Wenn du mich per E-Mail kontaktierst, werden deine Angaben (E-Mail-Adresse, Name, soweit angegeben, sowie der Inhalt deiner Nachricht) gespeichert, um die Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Nutzerstimmen auf dieser Website

Sofern auf dieser Website Erfahrungsberichte mit Namen, Foto oder Funktionsbezeichnung veröffentlicht werden, geschieht das ausschließlich mit vorheriger ausdrücklicher Einwilligung der jeweiligen Person (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden – eine formlose Nachricht an die oben genannte E-Mail-Adresse genügt. Der Beitrag wird dann unverzüglich entfernt.

8. Zahlungsabwicklung (Premium-Version)

Der Kauf der Premium-Version wird über Paddle abgewickelt:

Paddle tritt als Merchant of Record (Wiederverkäufer) auf und ist für die Zahlungsabwicklung eigenständig verantwortlich. Die für den Kauf erforderlichen Daten (u. a. E-Mail-Adresse, Zahlungsdaten, Rechnungsanschrift, Land) werden direkt von dir bei Paddle eingegeben und von Paddle als eigenständig Verantwortlicher verarbeitet. Ich erhalte keine Zahlungsdaten, sondern lediglich eine Transaktions-ID und die Information, dass zu einer bestimmten E-Mail-Adresse ein Kauf erfolgt ist – das ist notwendig, um den Premium-Status freizuschalten.

Sobald du den Kauf startest, wird das Bezahlformular von einem Server von Paddle geladen. Dabei wird deine IP-Adresse an Paddle übermittelt. Vorher findet kein Kontakt zu Paddle statt.

Diese Kaufdaten werden in einem eigenen Datensatz gespeichert, der die E-Mail-Adresse in normalisierter Form, die Transaktions-ID und den Kaufzeitpunkt enthält. Sobald du dich mit derselben Adresse anmeldest, wird der Kauf deinem Konto zugeordnet und der Premium-Status gesetzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Datenschutzhinweise von Paddle: paddle.com/legal/privacy.

9. Datenverarbeitung in der App

9.1 Lokale Speicherung

Die Schichtküche ist eine Progressive Web App und läuft im Browser. Deine Inhalte – also Wochenplanung, Einkaufsliste, Gewohnheiten, Favoriten, eigene Rezepte und Einstellungen – werden im lokalen Speicher (localStorage) deines Geräts abgelegt. Diese Daten verlassen dein Gerät nicht, solange du den optionalen Cloud-Sync nicht aktivierst.

Einige Daten bleiben auch bei aktiviertem Sync ausschließlich lokal und werden nie an einen Server übertragen: deine Gewohnheiten und deren Verlauf, die Reihenfolge der Blöcke auf der Startseite, die zuletzt angesehenen Rezepte und die Design-Einstellung.

Rechtsgrundlage für die technisch notwendige lokale Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Du kannst diese Daten jederzeit über die Einstellungen deines Browsers oder innerhalb der App löschen.

9.2 Konto und Cloud-Sync (optional)

Wenn du dich registrierst, werden gespeichert: deine E-Mail-Adresse, ein kryptografisch gesicherter Passwort-Hash (das Klartext-Passwort wird nicht gespeichert), der Zeitpunkt der Registrierung und der letzten Anmeldung sowie dein Premium-Status. Es werden kein Klarname, kein Geräteprofil und keine Nutzungsstatistiken erhoben.

Aktivierst du den Sync, werden zusätzlich deinem Konto zugeordnet: deine Einkaufslisten, dein Wochenplan einschließlich freier Texteinträge, dein Kochverlauf (welches Rezept du wann als gekocht markiert hast) und deine eigenen Rezepte. Nicht übertragen werden deine Gewohnheiten und deine App-Einstellungen – diese bleiben auf deinem Gerät (siehe Abschnitt 9.1).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9.3 Auftragsverarbeiter Supabase

Konto- und Synchronisationsdaten werden verarbeitet durch:

Die Auftragsverarbeitung ist über das Data Processing Addendum (DPA) von Supabase geregelt, das seit August 2026 automatisch Bestandteil der Nutzungsbedingungen ist. Rechtsgrundlage für den Einsatz ist Art. 28 DSGVO in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

Der Auftragsverarbeiter hat seinen Sitz in Singapur, einem Drittland, für das kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Die Speicherung selbst erfolgt in der Europäischen Union; ein Zugriff aus einem Drittland im Rahmen von Support- und Wartungsarbeiten lässt sich jedoch nicht vollständig ausschließen. Für diesen Fall sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO Bestandteil des Auftragsverarbeitungsvertrags.

9.4 Unterauftragsverarbeiter – Transparenzhinweis

Supabase betreibt die Server-Infrastruktur auf Amazon Web Services und setzt weitere Unterauftragsverarbeiter ein, darunter Unternehmen mit Sitz in den USA. Die Datenhaltung des genutzten Projekts erfolgt in der EU-Region Frankfurt am Main.

Offen gesagt: Für Betrieb und Wartung können Unternehmen, die US-amerikanischer Jurisdiktion unterliegen, technisch Zugriff auf die Infrastruktur erhalten. Ein Zugriff auf Grundlage US-amerikanischer Rechtsvorschriften lässt sich daher nicht mit vollständiger Sicherheit ausschließen – das gilt für nahezu jeden Anbieter von Cloud-Infrastruktur. Alle eingesetzten Unterauftragsverarbeiter sind vertraglich an die EU-Standardvertragsklauseln gebunden. Die jeweils aktuelle Liste ist Bestandteil des Auftragsverarbeitungsvertrags und bei Supabase abrufbar.

9.5 Geteilte Sync-Räume

Du kannst einen Sync-Raum per Einladungslink mit anderen Personen teilen, etwa im eigenen Haushalt. Gespeichert werden dabei die Zuordnung der Mitglieder zum Raum und der Zeitpunkt des Beitritts.

Für alle Mitglieder des Raums sichtbar sind: Einkaufslisten, Wochenplan und eigene Rezepte. Nicht geteilt werden dein Kochverlauf und deine Gewohnheiten – beides bleibt deinem Konto beziehungsweise deinem Gerät vorbehalten.

Wer den Einladungslink besitzt, kann dem Raum beitreten. Gib ihn deshalb nur an Personen weiter, die wirklich mitlesen sollen, und stelle keine Inhalte in einen Raum, die andere Mitglieder nichts angehen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem jeweiligen Mitglied, das selbst ein Konto besitzt. Die Daten werden gelöscht, wenn du den Raum verlässt, der Raum aufgelöst wird oder das jeweilige Konto gelöscht wird.

Freitextfelder wie Notizen im Wochenplan oder eigene Rezepte werden nicht ausgewertet. Bitte gib dort keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ein, etwa Angaben zu Gesundheit oder Diagnosen.

9.6 Löschung des Kontos

Du kannst dein Konto jederzeit in der App selbst löschen. Dabei werden unverzüglich entfernt: dein Anmeldedatensatz einschließlich E-Mail-Adresse und Passwort-Hash, dein Profil einschließlich Premium-Status, sämtliche synchronisierten Inhalte und deine Mitgliedschaften in geteilten Sync-Räumen.

Nicht gelöscht werden Angaben, die ich aufgrund gesetzlicher Aufbewahrungspflichten weiter vorhalten muss (§ 147 AO, § 257 HGB). Das betrifft ausschließlich den Kaufnachweis: die beim Kauf verwendete E-Mail-Adresse in normalisierter Form, die Transaktions-ID von Paddle und den Kaufzeitpunkt. Dieser Datensatz besteht unabhängig von deinem Konto und wird für jede weitere Nutzung gesperrt.

Lokal auf deinem Gerät gespeicherte Inhalte – darunter deine Gewohnheiten – bleiben von der Kontolöschung unberührt und sind gegebenenfalls separat über den Browser zu entfernen.

Bitte beachte: Mit der Löschung des Kontos erlischt auch ein erworbener Premium-Status endgültig; ein Anspruch auf erneute kostenlose Freischaltung besteht nicht. Darauf wird in der App vor der Löschung ausdrücklich hingewiesen.

10. Keine Weitergabe an Dritte

Eine Weitergabe deiner Daten an Dritte findet nicht statt, außer an die in dieser Erklärung genannten Dienstleister im Rahmen ihrer jeweiligen Aufgaben – oder wenn ich gesetzlich dazu verpflichtet bin. Ein Verkauf von Daten findet unter keinen Umständen statt.

11. Externe Links

Diese Website verlinkt auf externe Angebote. Auf deren Datenverarbeitung habe ich keinen Einfluss; es gelten die Datenschutzhinweise der jeweiligen Anbieter.

12. Deine Rechte

Dir stehen gegenüber dem Verantwortlichen folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für die Ausübung genügt eine formlose Nachricht an kontakt@schichtkueche.de.

Beschwerderecht bei der Aufsichtsbehörde

Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständige Behörde für den Verantwortlichen:

13. Änderungen dieser Datenschutzerklärung

Diese Erklärung wird angepasst, wenn sich die beschriebenen Verarbeitungen ändern – etwa durch neue Funktionen oder geänderte rechtliche Vorgaben. Es gilt jeweils die hier abrufbare Fassung.

Stand: Oktober 2026