Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Tom Banaszek
Scharnstedter Weg 34
27639 Wurster Nordseeküste, Deutschland
E-Mail: kontakt@bierdex.app

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen des § 38 BDSG liegen nicht vor.

Kontaktaufnahme per E-Mail

Wenn du uns per E-Mail kontaktierst (z. B. für Support-Anfragen oder zur Ausübung deiner Betroffenenrechte), verarbeiten wir deine E-Mail-Adresse, das Datum, die Uhrzeit sowie den Inhalt deiner Nachricht, um dein Anliegen zu bearbeiten und zu beantworten.

Rechtsgrundlage hierfür ist unser berechtigtes Interesse an der Beantwortung deiner Anfrage (Art. 6 Abs. 1 lit. f DSGVO) bzw., sofern deine Anfrage auf den Abschluss oder die Erfüllung eines Vertrags gerichtet ist, Art. 6 Abs. 1 lit. b DSGVO. Als E-Mail-Provider nutzen wir IONOS SE (Montabaur, Deutschland). E-Mails werden gelöscht, sobald dein Anliegen abschließend geklärt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

2. Welche Daten verarbeitet und gespeichert werden

Beim Anlegen eines Kontos (Registrierung)

• Anzeigename: Du kannst einen frei wählbaren Namen oder ein Pseudonym verwenden. Eine Pflicht zur Angabe eines Klarnamens besteht nicht (§ 19 Abs. 2 TDDDG).
• E-Mail-Adresse: Für die Kontoführung, Sicherheitsprüfungen und Passwort-Zurücksetzen.
• Passwort: Niemals im Klartext, sondern ausschließlich als scrypt-Hash mit individuellem Zufallssalz. Aus dem gespeicherten Wert lässt sich das Passwort nicht zurückrechnen, auch von uns nicht.
• Einladungscode und Registrierungszeitpunkt.
• Bestätigungscodes per E-Mail, ebenfalls nur als kryptografischer Hash und zeitlich befristet.

Erforderlichkeit der Angaben (Art. 13 Abs. 2 lit. e DSGVO): Die Bereitstellung des Anzeigenamens, der E-Mail-Adresse und eines Passworts ist vertraglich erforderlich, um ein Nutzerkonto auf Bierdex bereitzustellen. Ohne diese Angaben kann kein Konto angelegt und genutzt werden.

Mindestalter: Die Nutzung von Bierdex und die Erstellung eines Kontos sind erst ab dem vollendeten 16. Lebensjahr gestattet.

Bei Anmeldung mit Google (Sign in with Google)

• Die eindeutige Konto-Kennung (Google-Sub-ID), die Google vergibt.
• E-Mail-Adresse, Anzeigename und die Bildadresse des Profilbilds.

Mehr fragen wir bei Google nicht ab. Der Zugriff beschränkt sich auf die Bereiche openid, email und profile. Google agiert hierbei als eigenständiger Verantwortlicher.

Bei der Nutzung der App

• Deine Einträge & Sammlung: Erfasstes Bier, Foto der Flasche/des Glases, Zeitpunkt, gewählte Sichtbarkeit (öffentlich oder Freunde) sowie optionaler Kommentartext.
• Community & Freunde: Freundschaften, Freundschaftsanfragen und vergebene Likes.
• Direktnachrichten (Chats): Nachrichtenverläufe zwischen befreundeten Nutzern samt Text, Zeitstempel, Lesestatus und versendeter Chatbilder.
• Bundesliga-Tippspiel: Getätigte Spieltipps, erzielte Punkte, Wetteinsätze in virtuellen Spielpunkten („Bier-Punkte“), Quoten und Platzierungen in der Rangliste.
• Ein optionales Profilbild, sofern du eines in den Einstellungen hochlädst.

Benachrichtigungen

Bierdex verwendet keine externen Push-Server-Dienste (wie Firebase Cloud Messaging oder Apple APNs) und speichert keine Geräte-Tokens auf unseren Servern. Benachrichtigungen über neue Nachrichten oder Freundschaftsanfragen werden rein lokal über das Betriebssystem deines Endgeräts bzw. die Web-Notification-API deines Browsers ausgelöst, während die App aktiv ist. Die Berechtigung hierfür kannst du in deinem Gerät oder in den App-Einstellungen jederzeit anpassen.

Automatisch beim Aufruf (Server-Logfiles)

Bei jedem Aufruf der Anwendung verarbeitet der Hosting-Dienstleister (Vercel) technisch unvermeidbare Zugriffsdaten wie IP-Adresse, Datum und Uhrzeit, aufgerufene URL, HTTP-Statuscode und Browser-Kennung (User-Agent). Dies ist für die fehlerfreie Bereitstellung, die Stabilität und die Systemsicherheit technisch erforderlich.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

• Konto, Sammlung, Feed, Freunde, Chats und Bundesliga-Tippspiel: zur Erfüllung des Nutzungsverhältnisses gemäß Art. 6 Abs. 1 lit. b DSGVO.
• E-Mail-Bestätigung und Passwort-Zurücksetzen: Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an sicheren Nutzerkonten (Art. 6 Abs. 1 lit. f DSGVO).
• Betrieb, Sicherheit und Abwehr von Missbrauch: berechtigtes Interesse an einem stabilen und vor Angriffen geschützten System (Art. 6 Abs. 1 lit. f DSGVO).
• Anmeldung über Google: Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO), sofern du diesen Registrierungsweg wählst.

Google AdSense (Werbung)

Zur Deckung der Server- und Betriebskosten binden wir Werbung über Google AdSenseein. Personalisierte Werbung, die Speicherung von Cookies bzw. vergleichbaren Kennungen auf deinem Endgerät und die damit verbundene Verarbeitung personenbezogener Daten durch Google erfolgen nur auf Grundlage deiner ausdrücklichen Einwilligung über die Google-Einwilligungsabfrage (Art. 6 Abs. 1 lit. a DSGVO). Du kannst deine Werbeeinstellungen dort jederzeit einsehen und ändern.

Das AdSense-Skript wird auf jeder Seite geladen, auch ohne deine Einwilligung. Wir teilen Google dabei bereits beim Laden mit, was ohne Einwilligung untersagt ist (Google Consent Mode): Ohne dein Ja dürfen weder Cookies noch vergleichbare Kennungen auf deinem Endgerät gespeichert oder ausgelesen werden, und es findet keine Personalisierung statt. Technisch bedingt wird beim Laden des Skripts deine IP-Adresse an Google übertragen; Rechtsgrundlage hierfür ist unser berechtigtes Interesse an der Finanzierung dieses kostenlosen Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung mit Vercel Web Analytics

Zur statistischen Auswertung der Nutzung setzen wir Vercel Web Analytics ein. Das Verfahren arbeitet ohne Cookies und vergibt keine dauerhaften oder geräteübergreifenden Kennungen. Zur Unterscheidung eindeutiger Besucher (Unique Visitors) erzeugt Vercel aus der IP-Adresse und dem User-Agent einen täglich wechselnden Hashwert, der nach 24 Stunden verworfen wird. Erfasst werden aufgerufene Seiten, Referrer, grober Standort (Land/Region), Gerätetyp, Browser und Betriebssystem.

Die Reichweitenmessung erfolgt ausschließlich auf Grundlage deiner freiwilligenEinwilligung (Art. 6 Abs. 1 lit. a DSGVO), die beim ersten Besuch über das Auswahlbanner abgefragt wird. Solange du nicht zustimmst, wird das Messskript serverseitig vollständig weggelassen.

Widerruf der Einwilligung: Du kannst deine Einwilligung jederzeit in den App-Einstellungen unter „Reichweitenmessung“ mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

Gemäß Art. 8 DSGVO ist für eine wirksame Einwilligung in Informationsgesellschaftsdienste ein Mindestalter von 16 Jahren erforderlich.

4. Cookies und lokale Speicherung

Technisch notwendige Cookies und lokale Speicherungen sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne gesonderte Einwilligung zulässig, da sie zwingend erforderlich sind, um den von dir gewünschten Dienst bereitzustellen:

• bierdex_session – hält dich nach der Anmeldung angemeldet. Signiert, nur über HTTPS übertragbar, für JavaScript gesperrt (HttpOnly).Gültigkeit: 90 Tage (wird beim Abmelden sofort gelöscht).
• bierdex_oauth_state – schützt während der Google-Anmeldung vor gefälschten Anfragen (CSRF-Schutz). Läuft nach 10 Minuten ab.
• bierdex_locale – speichert die von dir ausgewählte Sprache (Gültigkeit: 1 Jahr).
• bierdex_consent – speichert deine Entscheidung zur Reichweitenmessung (all oder necessary), damit die Abfrage nicht bei jedem Seitenaufruf erneut erscheint (Gültigkeit: 1 Jahr).

Zusätzlich werden zwei Präferenzen ausschließlich lokal in deinem Browser (localStorage) gespeichert und erreichen unsere Server nicht: das Farbschema (hell/dunkel) und der lokale Zustand für Benachrichtigungen.

Google AdSense kann nach erteilter Einwilligung weitere Cookies oder Kennungen auf deinem Endgerät ablegen; Einzelheiten hierzu teilt die Google-Einwilligungsabfrage mit.

5. Empfänger und Dienstleister

Wir verkaufen deine Daten nicht. Für den technischen Betrieb binden wir folgende Empfänger ein:

Auftragsverarbeiter (Art. 28 DSGVO)

• Vercel Inc., USA: Bereitstellung des Webhostings, Serverless Functions, Speicherung hochgeladener Fotos und Chatbilder (Vercel Blob Storage) sowie Reichweitenmessung bei erteilter Einwilligung.
• Neon Inc., USA: Bereitstellung der relationalen PostgreSQL-Datenbank (Datenbank-Hosting).
• Resend Inc., USA: Technischer Versand von Bestätigungs- und Sicherheits-E-Mails (z. B. Registrierungscodes, Passwort-Zurücksetzen).

Eigenständige Verantwortliche / Weitere Empfänger

• IONOS SE, Deutschland: E-Mail-Provider für den Empfang und Versand von Support- und Kontakt-E-Mails.
• Google Ireland Ltd. / Google LLC: Wenn du dich per Google-Konto anmeldest oder AdSense-Werbung aktiviert ist. Bei Verwendung eines Google-Profilbilds lädt dein Endgerät das Bild direkt von Google-Servern.

Beim Scannen von Barcodes fragt unser Server den offenen Katalog von Open Food Factsab. Dabei wird nur der EAN-Barcode übertragen; deine persönliche IP-Adresse erfährt Open Food Facts dabei nicht.

Schriftarten sind lokal auf unserem Server hinterlegt. Vereinswappen für die Bundesliga-Tabelle werden von unserem eigenen Server ausgeliefert, sodass hierfür keine Drittverbindung entsteht.

6. Datenübermittlung in Drittländer (USA)

Einige der genannten Dienstleister (Vercel, Neon, Resend, Google) haben ihren Sitz in den Vereinigten Staaten von Amerika (USA) oder speichern Daten auf US-Servern. Die USA gelten grundsätzlich als Drittland außerhalb der Europäischen Union.

Die Datenübermittlung erfolgt auf folgenden rechtlichen Grundlagen:

• EU-US Data Privacy Framework (DPF): Für US-Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, liegt ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO vor. Dies trifft auf Vercel Inc. undGoogle LLC zu.
• Standardvertragsklauseln (SCC): Für Empfänger ohne DPF-Zertifizierung (insbesondere Neon Inc. und Resend Inc.) stützt sich die Übermittlung auf von der EU-Kommission genehmigte Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der abgeschlossenen Garantien bzw. Auftragsverarbeitungsverträge kann auf Anfrage zur Verfügung gestellt werden.

Trotz dieser Schutzmechanismen weisen wir darauf hin, dass US-Sicherheitsbehörden nach US-amerikanischem Recht unter bestimmten gesetzlichen Voraussetzungen behördliche Zugriffsrechte auf bei US-Unternehmen gespeicherte Daten ausüben können.

7. Was andere Nutzer sehen

• Profil: Dein Anzeigename und dein optionales Profilbild sind für andere angemeldete Nutzer von Bierdex sichtbar.
• Einträge & Fotos: Bei jedem Bier-Eintrag bestimmst du selbst, ob er öffentlich für die gesamte Community oder ausschließlich für deine Freunde sichtbar ist. Eigene Einträge kannst du jederzeit bearbeiten oder löschen.
• Direktnachrichten: Chatnachrichten und versendete Chatbilder sind ausschließlich für dich und den jeweiligen Chatpartner sichtbar.
• Bundesliga-Tipps: Deine abgegebenen Spieltipps können von deinen bestätigten Freunden in deinem Profil eingesehen werden. Dein Punktestand wird in der öffentlichen Bestenliste geführt.
• Deine E-Mail-Adresse ist für andere Nutzer zu keinem Zeitpunkt sichtbar.

8. Speicherdauer

• Kontodaten, Einträge und Profil: Werden gespeichert, bis du dein Konto löschen lässt.
• Direktnachrichten & Chatbilder: Bleiben im Chatverlauf gespeichert, bis das Konto gelöscht wird.
• Bundesliga-Tipps: Werden für die Dauer der laufenden Spielzeit und bis zur Kontolöschung gespeichert.
• Bestätigungscodes: Sind 15 Minuten lang gültig; unbestätigte Registrierungen verfallen danach automatisch.
• E-Mail-Anfragen: Werden nach abschließender Bearbeitung deines Anliegens gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen greifen.
• Server-Logdaten: Werden aus Sicherheitsgründen nach den Richtlinien des Hosting-Dienstleisters (in der Regel maximal 30 Tage) automatisch gelöscht.
• Datenbank-Backups: Automatische Sicherungskopien der Datenbank werden zur Ausfallsicherheit bis zu maximal 30 Tage vorgehalten und danach überschrieben.

9. Deine Rechte als betroffene Person

Dir stehen gegenüber uns folgende Rechte nach der DSGVO zu:

• Recht auf Auskunft über deine verarbeiteten Daten (Art. 15 DSGVO)
• Recht auf Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit in einem strukturierten Format (Art. 20 DSGVO)
• Widerspruchsrecht gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO)
• Recht auf jederzeitigen Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung deiner Rechte genügt eine formlose E-Mail an kontakt@bierdex.app. Für die Löschung deines Kontos samt aller Einträge und Daten bearbeiten wir deine Anfrage unverzüglich innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

Darüber hinaus steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (z. B. bei der Landesbeauftragten für den Datenschutz Niedersachsen oder der Aufsichtsbehörde deines Wohnsitzes).

10. Datensicherheit

• Die Übertragung aller Daten ist durchgehend mit moderner HTTPS-/TLS-Verschlüsselung geschützt.
• Passwörter werden ausschließlich mit dem modernen scrypt-Verfahren und individuellem Zufallssalz gespeichert. Der Passwortabgleich erfolgt zeitkonstant zur Verhinderung von Timing-Angriffen.
• Das Session-Cookie ist kryptografisch signiert, für JavaScript unzugänglich (HttpOnly) und auf HTTPS beschränkt.
• Der Google-OAuth-Flow ist mit kryptografischen State-Parametern gegen Manipulation gesichert.
• Fehlerhafte Anmeldeversuche geben aus Sicherheitsgründen keine Rückmeldung darüber, ob der Benutzername oder das Passwort falsch war, um Benutzer-Aufzählungsangriffe zu verhindern.

11. Aktualität und Änderungen

Durch die Weiterentwicklung unserer App oder veränderte gesetzliche Vorgaben kann eine Anpassung dieser Datenschutzerklärung erforderlich werden. Die jeweils aktuelle Version findest du stets unter /datenschutz.