Datenschutzerklärung

Stand: 26. Oktober 2026

Mit dieser Datenschutzerklärung informieren wir dich, welche personenbezogenen Daten wir auf Suppligator (allen Länderdomains wie suppligator.de, suppligator.at, suppligator.ch, suppligator.com, suppligator.co.uk, suppligator.fr, suppligator.it, suppligator.es, suppligator.pl, suppligator.nl, suppligator.dk, suppligator.fi und suppligator.se) und in der App „Suppligator“ für iOS und Android verarbeiten, wofür, auf welcher Rechtsgrundlage und welche Rechte du hast.

Wir halten die Datenverarbeitung bewusst schlank: Ohne deine Einwilligung setzen wir keine Werbe- oder Tracking-Cookies ein, binden kein Social-Media-Pixel ein und nutzen weder Google Analytics noch Google Ads noch Google Fonts. In der App gehört die Messung unserer Werbung über Meta zur freiwilligen Einwilligung „App verbessern“; nur wenn du sie erteilst, melden wir Meta (Facebook/Instagram), ob unsere Anzeigen funktionieren (Abschnitt 5a). Auf der Website fragen wir dafür gesondert („Werbung messen“). Auf dem iPhone sendet die App nur dann etwas an Meta, wenn du zusätzlich in der iOS-Abfrage „Tracking“ erlaubst. Google bzw. Apple erhalten Daten nur, wenn du dich selbst mit „Mit Google fortfahren“ bzw. „Mit Apple anmelden“ anmeldest (Abschnitt 7a) oder die App aus deren Store lädst (Abschnitt 18).

1. Verantwortlicher

Suppligator ist ein Projekt von rozmus.de
Andreas Rozmus e.K.
c/o Postflex #8834
Emsdettener Str. 10
48268 Greven
Deutschland
E-Mail: info@suppligator.de
Telefon: +49 151 418 217 58

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu nicht verpflichtet sind. Für alle Fragen zum Datenschutz erreichst du uns unter der oben genannten E-Mail-Adresse.

2. Überblick

• Besuch der Website: Server-Logdaten beim Hoster, Reichweitenmessung mit Plausible (ohne Cookies); Weiterleitungen, Bilder und Kurzlinks teils über Cloudflare (Abschnitt 4a).
• Konto: Registrierung, Freischaltung, Anmeldung mit 2-Faktor-Code oder mit Google bzw. Apple, Profil, Favoriten, Bewertungen, Punkte und Ranglisten.
• Community-Funktionen: Marktplatz, Rezepte, Feedback-Board, Empfehlungen, Bestell-Screenshots, freiwillige Identitätsprüfung.
• Trainingsbereich (Beta): nur nach Freischaltung und mit deiner ausdrücklichen Einwilligung – Trainingspläne, Trainings und freiwillige Angaben zum Befinden, Trainingsgruppen (Abschnitt 8a).
• Kommunikation: E-Mails (Bestätigungscodes, Benachrichtigungen, Zusammenfassungen, Newsletter), KI-Chat, WhatsApp-Community.
• App: Konto wie auf der Website, Push-Mitteilungen und Live-Aktivitäten, Absturzberichte, freiwillige Nutzungsstatistik (Abschnitt 18).
• Werbemessung: nur mit Einwilligung – Meta Conversions API (Website, ohne Pixel und ohne Meta-Cookies) und Meta-SDK (App) (Abschnitt 5a).
• Links zu Shops: Rabattcodes und Partner-Links zu den Shops der Marken.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage der Datenschutz-Grundverordnung (DSGVO):

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Newsletter, E-Mail-Zusammenfassungen, Push-Mitteilungen, Werbemessung mit Meta, freiwillige Profilangaben). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
• Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung in die Verarbeitung von Daten, die Rückschlüsse auf deine Gesundheit zulassen können (Trainingsbereich, Abschnitt 8a).
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Pflichten (z. B. Aufbewahrungspflichten).
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (sicherer und stabiler Betrieb, Missbrauchsschutz, anonyme Reichweitenmessung, Verbesserung des Angebots).

Für den Zugriff auf Informationen auf deinem Endgerät gilt zusätzlich § 25 TDDDG (Deutschland) bzw. § 165 Abs. 3 TKG 2021 (Österreich). Auf der Website speichern oder lesen wir dort ohne deine Einwilligung nur, was für einen von dir ausdrücklich gewünschten Dienst unbedingt erforderlich ist (Abschnitt 6) – deshalb brauchen wir kein Cookie-Banner; nur für „Werbung messen“ fragen wir dich ausdrücklich (Abschnitt 5a). In der App fragen wir für Mitteilungen und für „App verbessern“ (Nutzungsstatistik einschliesslich Werbemessung mit Meta) nach deiner Einwilligung (Abschnitte 18 und 5a).

4. Hosting und Server-Logdaten

Unsere Website und unser Server für die App werden bei der Raidboxes GmbH, Hafenweg 26a, 48155 Münster, Deutschland, betrieben (Server in Deutschland). Raidboxes verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Bei jedem Aufruf speichert der Server automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Referrer (zuvor besuchte Seite), Browser bzw. App-Kennung und Betriebssystem. Diese Logdaten brauchen wir, um Website und App auszuliefern, Fehler zu finden und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Sie werden nach rund 7 Tagen automatisch gelöscht. Die Verbindung ist per TLS verschlüsselt.

4a. Auslieferung und Weiterleitungen über Cloudflare

Für einen Teil des Datenverkehrs nutzen wir Dienste der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA („Cloudflare“). Das betrifft die Namensauflösung (DNS) der Domain suppligator.de, die Adresse www.suppligator.de (Weiterleitung auf suppligator.de sowie Auslieferung und Zwischenspeicherung von Bildern unter /wp-content/, etwa Vorschaubildern für soziale Netzwerke und Messenger) und die Kurzlinks unter links.suppligator.de (Weiterleitungen). Die Seiten von suppligator.de und unseren übrigen Länderdomains selbst liefert weiterhin unser Hoster Raidboxes aus (Abschnitt 4).

Verarbeitete Daten: Rufst du eine dieser Adressen auf, verarbeitet Cloudflare deine IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit, die Browser- bzw. App-Kennung (User-Agent) und technische Verbindungsdaten (z. B. Protokoll- und Verschlüsselungsangaben). Bei der Namensauflösung erhält Cloudflare die Anfrage des DNS-Resolvers, den dein Gerät bzw. dein Netzbetreiber nutzt.

Zweck und Rechtsgrundlage: schnelle, stabile und sichere Auslieferung, Weiterleitungen auf die richtige Adresse sowie Schutz vor Angriffen und Überlastung. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO; Auftragsverarbeitungsvertrag von Cloudflare, „Data Processing Addendum“).

Cookies: Unsere Weiterleitungs- und Bildfunktion bei Cloudflare setzt keine Cookies und speichert nichts auf deinem Gerät. Zwischengespeichert werden bei Cloudflare nur Bilder (bis zu 1 Tag) und Weiterleitungsziele (bis zu 1 Stunde), keine Angaben über dich.

Drittland: Cloudflare betreibt ein weltweites Netz von Rechenzentren; Daten können daher auch in die USA und in andere Länder ausserhalb der EU übermittelt werden. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023); ergänzend gelten EU-Standardvertragsklauseln.

Speicherdauer: Cloudflare speichert Protokolldaten nur kurzzeitig nach eigenen Richtlinien und löscht sie danach. Wir selbst werten keine Cloudflare-Protokolle über einzelne Personen aus. Weitere Informationen: https://www.cloudflare.com/privacypolicy/.

5. Reichweitenmessung mit Plausible Analytics

Um zu verstehen, welche Inhalte und Funktionen genutzt werden, verwenden wir Plausible Analytics der Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland (Server in der EU). Plausible arbeitet ohne Cookies und ohne Speicherung auf deinem Gerät und erstellt keine Nutzerprofile. Plausible verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Das Plausible-Skript und die Messdaten laufen über unsere eigene Domain (Pfad /pl/); unser Server leitet die Daten an Plausible weiter. Erfasst werden: aufgerufene Seite, Herkunftsseite, Land, Gerätetyp, Browser und Betriebssystem, ausserdem anonyme Ereignisse wie das Kopieren eines Rabattcodes, ein Klick zu einem Partner-Shop, das Nutzen von Filtern oder Favoriten, das Öffnen von FAQ-Einträgen, die Lesetiefe von Artikeln sowie Schritte der Registrierung. Dazu senden wir den Seitentyp, die Sprache und die Angabe, ob du angemeldet bist. Suchbegriffe, Namen, E-Mail-Adressen oder Kontonummern senden wir nie.

Ereignisse vom Server: Einige Ereignisse meldet unser Server direkt an Plausible: „Konto erstellt“, „E-Mail bestätigt“, „Onboarding abgeschlossen“, „Konto freigeschaltet“, „Punkte erhalten“ und „Klick auf eine Partner-Anzeige“. Das gilt auch, wenn du die Funktion in der App nutzt. Damit Plausible den Vorgang zählen kann, übermitteln wir dabei deine IP-Adresse und die Browser- bzw. App-Kennung (User-Agent). Konto-ID, Namen und E-Mail-Adressen senden wir nicht.

Aus IP-Adresse und Browserkennung bildet Plausible eine tagesaktuelle, gesalzene Prüfsumme, um Besuche zu zählen; die IP-Adresse selbst wird nicht gespeichert, die Prüfsumme wird täglich verworfen. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst widersprechen, indem du uns schreibst; alternativ blockieren gängige Werbeblocker die Messung auf der Website.

5a. Werbemessung mit Meta (nur mit Einwilligung)

Wir werben für Suppligator auf Instagram und Facebook. Um zu erfahren, ob diese Anzeigen funktionieren, und um sie passenderen Personen zu zeigen, nutzen wir – nur wenn du einwilligst – Dienste der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“).

Website (Conversions API, ohne Pixel): Auf der Website setzen wir kein Meta-Pixel und keine Meta-Cookies ein. Erlaubst du „Werbung messen“, übermittelt unser Server folgende Ereignisse direkt an Meta: Seitenaufruf, Aufruf einer Produkt-, Aktions-, Marken- oder Gutscheinseite, Kopieren eines Rabattcodes, Klick zu einem Partner-Shop, Absenden einer Suche (ohne Suchbegriff) und eine Registrierung. Dabei übermitteln wir: die aufgerufene Adresse (ohne Parameter), Zeitpunkt, eine zufällige Ereigniskennung, deine IP-Adresse, die Browserkennung (User-Agent), falls du über eine Meta-Anzeige kamst die Klick-Kennung dieser Anzeige („fbclid“) und bei angemeldeten Mitgliedern zusätzlich deine E-Mail-Adresse und Konto-Kennung als nicht lesbare Prüfsumme (SHA-256-Hash). Meta gleicht diese Angaben mit eigenen Daten ab, um festzustellen, ob du eine Anzeige gesehen oder angeklickt hast.

Gespeichert wird auf deinem Gerät nur deine Wahl: Bei „Erlauben“ das Cookie sg_mkt (6 Monate) und – falls du über eine Meta-Anzeige kamst – sg_fbc mit der Klick-Kennung (7 Tage); bei „Nicht erlauben“ ein Eintrag im lokalen Speicher, damit wir dich nicht erneut fragen. Bist du angemeldet, speichern wir deine Wahl zusätzlich in deinem Konto; ein Widerruf gilt dann auf allen Geräten.

App (Meta-SDK): In der App ist die Werbemessung Teil der Einwilligung „App verbessern“, die die anonyme Nutzungsstatistik (Abschnitt 18) und die Messung unserer Werbung über Meta zusammenfasst; im Einwilligungstext wird Meta ausdrücklich genannt. Erst nach dieser Einwilligung startet die App das Software-Kit von Meta (Facebook SDK) – vorher baut die App keinerlei Verbindung zu Meta auf. Es meldet Meta die Installation und das Öffnen der App sowie Registrierung, Anmeldung, angesehene Aktionen und Produkte, gemerkte Favoriten, das Kopieren eines Codes, das Öffnen eines Shops und Suchen (ohne Suchtext). Dabei werden Geräte- und App-Informationen (z. B. Gerätemodell, Betriebssystem, App-Version, Sprache, IP-Adresse) und eine Installations-Kennung von Meta übermittelt. Auf iOS startet die App das Meta-SDK nur und sendet Daten nur, wenn du zusätzlich in der Systemabfrage „Tracking“ erlaubst; dann wird auch die Werbe-ID (IDFA) genutzt. Entziehst du diese Erlaubnis in den iOS-Einstellungen, sendet die App ab dem nächsten Öffnen nichts mehr. Auf Android genügt deine Einwilligung in der App; dann wird auch die Google-Werbe-ID genutzt. Auf Android erhält Meta über das SDK ausserdem die Angabe von Google Play, über welche Anzeige die App installiert wurde (Install Referrer). Unabhängig von deiner Einwilligung kann Apple uns und Meta über das datenschutzfreundliche Verfahren SKAdNetwork zusammengefasst mitteilen, dass eine Installation auf eine Anzeige zurückgeht; dabei erhalten weder wir noch Meta Daten über dich persönlich.

Zweck und Rechtsgrundlage: Erfolgsmessung und Optimierung unserer Werbung auf Instagram und Facebook, Bildung von Zielgruppen für Werbung (z. B. „ähnliche Personen“). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für Speichern/Auslesen auf deinem Gerät § 25 Abs. 1 TDDDG bzw. § 165 Abs. 3 TKG 2021). Die Einwilligung ist freiwillig; ohne sie kannst du Website und App vollständig nutzen.

Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung von Meta dazu („Controller Addendum“) findest du unter https://www.facebook.com/legal/controller_addendum. Für die weitere Verarbeitung ist Meta allein verantwortlich (https://www.facebook.com/privacy/policy). Deine Rechte kannst du bei uns oder bei Meta geltend machen.

Drittland: Meta kann Daten auch in die USA übermitteln. Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023); ergänzend gelten EU-Standardvertragsklauseln.

Widerruf: Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – auf der Website über den Link „Werbung messen“, in der App unter Konto → Einstellungen → Datenschutz → „App verbessern“ (auch ohne Konto); damit endet auch die Nutzungsstatistik. Die Freigabe der Werbe-ID auf iOS zusätzlich in den iOS-Einstellungen → Datenschutz → Tracking. Danach senden wir nichts mehr an Meta; das Cookie sg_mkt wird gelöscht.

Speicherdauer: Wir selbst speichern ausser deiner Wahl keine dieser Daten. Meta speichert sie nach eigenen Regeln.

6. Cookies und lokale Speicherung

Auf der Website setzen wir – ausser nach deiner Einwilligung „Werbung messen“ (Abschnitt 5a) – ausschliesslich technisch notwendige Speicherungen ein, die für eine von dir gewünschte Funktion erforderlich sind:

• Anmelde-Cookies (wordpress_logged_in_…, wordpress_sec_…, wordpress_test_cookie): halten dich nach der Anmeldung eingeloggt; Laufzeit bis zu 14 Tage.
• Bekanntes Gerät für die 2-Faktor-Anmeldung (sg_dev): zufällige Kennung, damit wir dich auf einem bereits bestätigten Gerät nicht jedes Mal nach einem Code fragen; Laufzeit 1 Jahr, wird nur nach erfolgreicher Anmeldung gesetzt.
• Anmeldung mit Google oder Apple (sg_soc_b): sichert den Anmeldevorgang gegen Missbrauch ab; Laufzeit 10 Minuten, wird nur beim Klick auf „Mit Google fortfahren“ bzw. „Mit Apple anmelden“ gesetzt.
• Anmeldung über mehrere Länderdomains (sg_ssoc_b, sg_ssoc_n): übertragen deine Anmeldung auf unsere anderen Länderdomains, damit du dort ebenfalls angemeldet bist; Laufzeit wenige Minuten.
• Sprache (wp-wpml_current_language): merkt sich die gewählte Sprache für Inhalte, die nachgeladen werden; Laufzeit 1 Tag.
• Lokaler Speicher des Browsers: deine Wahl zwischen hellem und dunklem Design (sgTheme), gemerkte Favoriten und Artikel (sg_fav_variants, sg_fav_posts) und ob du die Einführungstour schon gesehen hast (sg_tour_done_…); nur, wenn du die Funktion selbst nutzt.
• Werbung messen (nur mit deiner Einwilligung, Abschnitt 5a): sg_mkt (merkt die Einwilligung, 6 Monate) und sg_fbc (Klick-Kennung einer Meta-Anzeige, 7 Tage). Lehnst du ab, merken wir das im lokalen Speicher (sg_mkt), damit wir nicht erneut fragen.

In der App speichern wir auf deinem Gerät: deine Anmeldung (Zugangstoken, im geschützten Schlüsselbund bzw. Keystore), deine Einstellungen und Einwilligungen (z. B. KI-Hinweis, Nutzungsstatistik), eine zufällige Installations-Kennung, Daten für Widgets und Live-Aktivitäten sowie Erinnerungen. Diese Daten bleiben auf dem Gerät, soweit in Abschnitt 18 nichts anderes steht.

In der App zusätzlich: deine Wahl zu „App verbessern“ und – nach Einwilligung – Daten des Meta-SDK (Abschnitt 5a).

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021 sowie Art. 6 Abs. 1 lit. b und f DSGVO. Du kannst Cookies und lokalen Speicher jederzeit in deinem Browser bzw. durch Löschen der App entfernen; einzelne Funktionen (z. B. angemeldet bleiben) funktionieren dann nicht mehr.

7. Konto, Registrierung und Anmeldung

Die meisten Inhalte von Suppligator sind derzeit nur für registrierte und freigeschaltete Mitglieder sichtbar. Für ein Konto verarbeiten wir:

• Pflichtangaben: E-Mail-Adresse, Passwort (nur als verschlüsselter Hash), Benutzername.
• Freiwillige Angaben im Onboarding und Profil: Anzeigename, Geburtstag, Land, Profilbild, Instagram- und TikTok-Name, Marken-Interessen, Lieblingsprodukt, Kurzbeschreibung, Benachrichtigungswünsche, Einladungscode.
• Sicherheit: 6-stellige Bestätigungscodes per E-Mail (Registrierung und 2-Faktor-Anmeldung), Zeitpunkt der Freischaltung, gewähltes 2-Faktor-Intervall. Fehlversuche begrenzen wir je IP-Adresse kurzzeitig (Missbrauchsschutz). Meldest du dich mit Google oder Apple an, entfällt der 2-Faktor-Code per E-Mail; die Bestätigung übernimmt dann Google bzw. Apple.

Zweck ist die Bereitstellung deines Kontos und der Funktionen (Art. 6 Abs. 1 lit. b DSGVO); freiwillige Angaben verarbeiten wir auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Neue Konten schalten wir manuell frei, um Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO). Suppligator richtet sich an Personen ab 16 Jahren.

Profilbilder: Hast du kein eigenes Bild hochgeladen, zeigen wir ein neutrales Platzhalterbild von unserem Server. Den Dienst Gravatar nutzen wir nicht.

Für angemeldete Mitglieder sichtbar sind auf deiner Profilseite:

• dein Anzeigename, Profilbild, Kurzbeschreibung und freiwillig angegebene Instagram- und TikTok-Namen;
• „Mitglied seit“, Punkte, Level, Abzeichen (einschliesslich Wiki-Abzeichen) und Ranglistenplätze;
• deine freigegebenen Bewertungen, deine Marktplatz-Anzeigen und deine Marktplatz-Bewertung (Sterne);
• deine Marken-Interessen aus dem Onboarding („Lieblingsmarken“), ein von dir gewähltes oder automatisch bestimmtes hervorgehobenes Abzeichen sowie die Anzahl deiner Bewertungen und Rezepte;
• wer dich eingeladen hat („geworben von“);
• die zuletzt angemeldeten Besucher:innen deiner Profilseite („Zuletzt angesehen von“) – umgekehrt erscheinst du bei anderen in dieser Liste, wenn du deren Profil ansiehst; wir speichern bis zu 30 Besuche je Profil;
• nur wenn du es in den Einstellungen einschaltest: deine Favoriten (Standard: privat) und deine Rezepte (Standard: aus).

Hast du keinen Anzeigenamen gesetzt, erscheint in Ranglisten und in der Adresse deiner Profilseite dein Benutzername. Deine E-Mail-Adresse ist nie öffentlich; zur Ausnahme im Marktplatz siehe Abschnitt 9.

Profil öffentlich: Mit dem Schalter „Profil öffentlich“ in den Kontoeinstellungen (Standard: an) kannst du deine Profilseite auf privat stellen. Andere Mitglieder sehen dann nur deinen Anzeigenamen und dein Profilbild; Kurzbeschreibung, Abzeichen, Kennzahlen, Marken, Favoriten, Bewertungen und Rezepte werden auf der Profilseite nicht angezeigt, und wir verknüpfen deine Beiträge in strukturierten Daten nicht mit deiner Profilseite. Inhalte, die du selbst veröffentlichst (z. B. Bewertungen, Rezepte, Marktplatz-Anzeigen), und Ranglisten zeigen weiterhin deinen Anzeigenamen. Nach dem öffentlichen Start der Website können öffentliche Profilseiten mit genügend eigenen Inhalten (z. B. mehreren freigegebenen Bewertungen oder einem Rezept) auch ohne Anmeldung aufgerufen, von Suchmaschinen erfasst und in Suchergebnissen angezeigt werden; möchtest du das nicht, schalte „Profil öffentlich“ aus – private Profilseiten kennzeichnen wir für Suchmaschinen mit „noindex“ und nehmen sie nicht in unsere Sitemap auf.

Speicherdauer und Löschung: Wir speichern deine Kontodaten, solange dein Konto besteht. Du kannst dein Konto jederzeit selbst löschen – in der App unter Konto → Einstellungen → Konto löschen, auf der Website unter Konto → Gefahrenzone → Konto löschen oder per E-Mail an info@suppligator.de. Dabei löschen wir dein Konto mit allen Profilangaben, Profilbild, Punkten, Abzeichen, Favoriten, Einstellungen, Push-Tokens und Marktplatz-Nachrichten. Anzeigen und Rezepte nehmen wir sofort offline und löschen sie nach 30 Tagen endgültig. Produktbewertungen und Kommentare bleiben ohne deinen Namen erhalten („Ehemaliges Mitglied“; E-Mail, IP-Adresse und Browserkennung entfernen wir); auf Wunsch löschen wir sie vollständig. Eine Newsletter-Anmeldung endet nicht automatisch; sie beendest du über den Abmeldelink. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Alle Einzelheiten stehen auf der Seite Konto löschen.

7a. Anmeldung mit Google oder Apple

Statt mit E-Mail und Passwort kannst du dich mit „Mit Google fortfahren“ (Website und App) oder „Mit Apple anmelden“ (App auf iOS) anmelden. Du meldest dich dabei direkt bei Google bzw. Apple an; diese bestätigen uns deine Identität mit einem signierten Token. Es enthält eine Kennung, die dich bei Google bzw. Apple eindeutig bezeichnet, deine E-Mail-Adresse und ob sie bestätigt ist sowie bei der ersten Anmeldung deinen Namen. Bei Apple kannst du statt deiner echten Adresse eine Weiterleitungsadresse von Apple verwenden („E-Mail-Adresse verbergen“).

Was wir speichern: die Kennung von Google bzw. Apple zusammen mit deinem Konto und – nur bei einem neuen Konto – den Namen als Anzeigenamen. Ein Konto mit derselben, bestätigten E-Mail-Adresse verknüpfen wir automatisch. Dein Google- bzw. Apple-Passwort erhalten wir nicht.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Beide verarbeiten die Anmeldung auch in eigener Verantwortung nach ihren Datenschutzbestimmungen; dabei kann es zu Übermittlungen in die USA kommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anmeldung auf deinen Wunsch). Speicherdauer: bis du die Verknüpfung trennst oder dein Konto löschst. Die Freigabe für Suppligator kannst du zusätzlich jederzeit in deinem Google- bzw. Apple-Konto entfernen.

8. Bewertungen, Favoriten, Punkte und Empfehlungen

Wenn du Produkte bewertest, Favoriten speicherst, Punkte sammelst oder an Aktionen teilnimmst, speichern wir diese Angaben mit deinem Konto (Art. 6 Abs. 1 lit. b DSGVO). Bewertungen mit Sternen, Text und optional Foto erscheinen mit deinem Anzeigenamen. Bewertungen prüfen wir vor der Veröffentlichung; für freigegebene Bewertungen schreiben wir Punkte gut.

Anzeigen von Partnern: Wie oft ein gekennzeichneter Partner-Werbeplatz („Anzeige“) sichtbar war und angeklickt wurde, zählen wir ohne Cookies und ohne Personenbezug als Tageszähler. Zum Schutz vor Missbrauch bilden wir kurzzeitig eine täglich wechselnde Prüfsumme der IP-Adresse.

Partner-Aufgaben im Club: Öffnest du die Aktion eines Partners oder bewertest du sein Produkt, schreiben wir dir einmalig Punkte und ein Abzeichen gut; gespeichert wird das in deinem Punkteverlauf.

Favoriten speichern wir mit deinem Konto. Sie sind standardmässig privat und erscheinen nur im Profil, wenn du „Meine Favoriten öffentlich im Profil zeigen“ einschaltest.

Wiki-Abzeichen: Liest du als angemeldetes Mitglied Wiki-Artikel, speichern wir, welche Artikel du gelesen hast, und vergeben daraus die Abzeichen „Wiki-Leser“, „Wiki-Kenner“ und „Wiki-Professor“. Sichtbar ist nur das Abzeichen, nicht die Liste der Artikel.

Empfehlungen: Lädst du jemanden über deinen persönlichen Link ein, speichern wir bei der Registrierung der eingeladenen Person, wer eingeladen hat, und schreiben nach der Freischaltung Punkte und ein Los für die Monatsverlosung gut. Wir setzen dafür kein Cookie; der Code wird nur aus der Adresse des Einladungslinks bzw. dem Feld „Einladungscode“ übernommen.

Bestell-Screenshots: Für bestimmte Aktionen kannst du einen Screenshot deiner Bestellbestätigung hochladen. Vor dem Hochladen verkleinern wir das Bild und entfernen Metadaten. Den Text darauf lassen wir automatisiert von OCR.space (a9t9 software GmbH, Deutschland) erkennen, um die Bestellung zu prüfen. Nach Angaben des Anbieters werden Bilder direkt nach der Verarbeitung gelöscht; die Verarbeitung kann auch auf Servern ausserhalb der EU stattfinden (Abschnitt 19). Bei der automatischen Prüfung speichern wir das Bild selbst nicht. Eine Prüfsumme des Bildes und die Bestellnummer bewahren wir 90 Tage auf, damit dieselbe Bestellung nicht mehrfach Punkte bringt. Danach bleibt im Punkteverlauf nur ein Pseudonym, das ohne unseren Schlüssel nicht auf die Bestellnummer zurückführbar ist. Bitte schwärze Angaben, die wir nicht brauchen (z. B. Adresse), vor dem Hochladen.

Kann die automatische Prüfung eine Bestellung nicht sicher bestätigen (z. B. ESN oder OACE ohne lesbare Bestellnummer), speichern wir das verkleinerte Bild und den erkannten Text höchstens 14 Tage auf unserem Server (Raidboxes), damit wir die Bestellung von Hand prüfen können. Nach der Entscheidung, spätestens nach 14 Tagen, löschen wir Bild und Text. Prüfsumme und Bestellnummer bewahren wir wie oben beschrieben auf.

8a. Trainingsbereich (Beta)

Wenn dein Konto für den Trainingsbereich freigeschaltet ist und du einwilligst, verarbeiten wir: Trainingspläne und Einstellungen (Ziel, Erfahrung, Trainingstage, Ausrüstung, ggf. Wettkampfdatum), selbst angelegte Übungen, absolvierte Trainings mit Datum, Dauer, Übungen und Sätzen (Gewicht, Wiederholungen, Zeit, Distanz, Kalorien, optional Anstrengung), Notizen sowie freiwillige Angaben zum Befinden (Stimmung, Energie, Schlaf, Muskelkater). Zweck ist ausschliesslich die Bereitstellung des Trainingsbereichs (Planvorschlag, Anzeige des nächsten Trainings, Fortschrittsauswertung, Club-Punkte und -Abzeichen). Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO). Die Daten werden in eigenen Datenbanktabellen auf unserem Server bei der Raidboxes GmbH, Münster (Server in Deutschland), gespeichert (Abschnitt 4). Eine Weitergabe an Dritte, eine Nutzung für Werbung, Profilbildung oder Statistik sowie eine Auswertung durch KI-Dienste finden nicht statt. In der App wird ein laufendes Training bis zum Absenden zusätzlich auf deinem Gerät gespeichert; auf iPhones kann der Trainingsfortschritt als Live-Aktivität auf dem Sperrbildschirm angezeigt werden (lokal, ohne Server).

Trainingsgruppen: Wenn du einer Gruppe beitrittst, sehen die Mitglieder dein selbst gewähltes Pseudonym, die Anzahl deiner Trainings im laufenden Monat und deine Wochenserie – keine Gewichte und kein Befinden. An der Mitglieder-Rangliste nimmst du nur teil, wenn du sie aktivierst.

Du kannst deine Einwilligung jederzeit widerrufen, indem du im Trainingsbereich „Alle Trainingsdaten löschen“ wählst; die Daten werden dann sofort gelöscht. Unter „Daten exportieren“ erhältst du alle Angaben als JSON-Datei. Beim Löschen deines Kontos werden alle Trainingsdaten ebenfalls gelöscht. Speicherdauer: bis zum Widerruf bzw. zur Kontolöschung. Club-Punkte und Abzeichen, die du für Trainings erhalten hast, bleiben als Teil deines Club-Kontos bestehen.

Profil und Gruppen-Einladungen: Freiwillig kannst du in den Einstellungen des Trainingsbereichs festlegen, dass in deinem Mitgliederprofil für andere Mitglieder mit Zugang zum Trainingsbereich sichtbar ist, dass du mit Suppligator trainierst und/oder welcher öffentlichen Trainingsgruppe du angehörst (beides standardmässig deaktiviert; Trainingspläne, Leistungswerte oder Angaben zum Befinden werden nie angezeigt). Solange du Gruppen-Einladungen nicht deaktivierst (standardmässig erlaubt), können Administratorinnen und Administratoren einer Trainingsgruppe dich einladen; dafür speichern wir die einladende Person, die Gruppe, den Zeitpunkt und den Status der Einladung und benachrichtigen dich in der App sowie – falls aktiviert – per Push. Einer Gruppe trittst du erst bei, wenn du die Einladung annimmst. Rechtsgrundlage ist deine Einwilligung über die jeweiligen Schalter (Art. 6 Abs. 1 lit. a DSGVO) bzw. die Bereitstellung der Gruppenfunktion (Art. 6 Abs. 1 lit. b DSGVO). Du kannst die Schalter jederzeit ändern sowie Einladungen ablehnen oder melden; mit dem Löschen deiner Trainingsdaten werden auch diese Einstellungen und Einladungen gelöscht.

8b. Apple Health und Health Connect (App)

In der App kannst du den Trainingsbereich (Abschnitt 8a) mit Apple Health (iPhone) bzw. Health Connect (Android) verbinden. Das passiert nur, wenn du es im Trainingsbereich unter „Apple Health / Health Connect“ selbst einschaltest – mit einer eigenen Einwilligung, getrennt von der Einwilligung für den Trainingsbereich – und die Berechtigungen in der Abfrage des Systems erteilst. Ab Werk ist die Verbindung aus. Deine Entscheidung wird nur auf dem jeweiligen Gerät gespeichert und beim Abmelden oder bei einem Kontowechsel in der App zurückgesetzt.

Mit deiner Einwilligung kann die App:

• Trainings speichern: Ein abgeschlossenes Training wird als Workout in Apple Health bzw. Health Connect geschrieben (Trainingsart, Beginn, Ende und Titel; in Apple Health zusätzlich Distanz und Kalorien, soweit erfasst).
• Schritte von heute lesen: Die Schrittzahl des aktuellen Tages wird im Trainingsbereich und im Widget „Schritte“ angezeigt. Sie wird nur auf deinem Gerät verarbeitet und nicht an unseren Server übertragen.
• Ausdauer übernehmen (optional, eigener Schalter): Auf Knopfdruck liest die App Trainings anderer Apps aus den letzten höchstens 14 Tagen. Laufen, Radfahren und Rudern übernimmt sie als Training in deinen Trainingsverlauf; dazu werden Trainingsart, Datum, Beginn und Ende, Distanz und Kalorien (soweit vorhanden) sowie der Name der Quell-App an unseren Server übertragen und dort wie jedes andere Training gespeichert (Abschnitt 8a). Übernommene Einheiten geben keine Club-Punkte.

Weitere Gesundheitsdaten – etwa Schlaf oder Körpergewicht – liest die App nicht. Mit der Apple-Watch-App wird während eines Trainings die Herzfrequenz auf der Uhr angezeigt und zusammen mit dem Training in Apple Health gespeichert; sie wird nicht an unsere Server übertragen. Wir verwenden Daten aus Apple Health und Health Connect ausschliesslich, um dir die genannten Funktionen des Trainingsbereichs bereitzustellen. Wir nutzen sie nicht für Werbung, Marketing, Profilbildung oder Data-Mining, lassen sie nicht durch KI-Dienste auswerten, verkaufen sie nicht, geben sie nicht an Dritte weiter und speichern sie nicht in iCloud. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO). Übernommene Einheiten werden auf unserem Server bei der Raidboxes GmbH, Münster (Server in Deutschland), gespeichert (Abschnitt 4).

Widerruf und Löschung: Du kannst die Verbindung jederzeit im Trainingsbereich unter „Apple Health / Health Connect“ mit „Trennen“ beenden; danach liest und schreibt die App nichts mehr. Die Berechtigungen kannst du ausserdem jederzeit in der Health-App (iPhone) bzw. in Health Connect (Android) ändern oder entziehen. Trainings, die bereits in Apple Health bzw. Health Connect gespeichert sind, bleiben dort, bis du sie dort löschst. Bereits übernommene Ausdauereinheiten bleiben in deinem Trainingsverlauf, bis du sie dort einzeln löschst, „Alle Trainingsdaten löschen“ wählst oder dein Konto löschst.

9. Marktplatz

Im Marktplatz können Mitglieder Anzeigen einstellen, sich Nachrichten schreiben, einander bewerten und Anzeigen melden. Wir verarbeiten dazu Anzeigeninhalte (Titel, Beschreibung, Preis, Bilder, Ort), die von dir hinterlegten Kontaktmöglichkeiten, Nachrichten, Bewertungen und Meldungen (Art. 6 Abs. 1 lit. b DSGVO; Meldungen zusätzlich lit. f zum Schutz der Community). Suppligator ist nur Plattform; Kaufverträge kommen ausschliesslich zwischen den Mitgliedern zustande.

• Anzeigen erscheinen sofort. Den Ort gibst du als freien Text ein (Stadt oder PLZ); wir fragen keinen Standort von deinem Gerät ab.
• Kontaktmöglichkeiten werden nur angemeldeten Mitgliedern angezeigt. Hinterlegst du keine eigene Kontakt-E-Mail, zeigen wir angemeldeten Mitgliedern die E-Mail-Adresse deines Kontos als Kontaktweg.
• Bewerten können sich nur Mitglieder, die sich zu einer Anzeige geschrieben haben.
• Bekommst du eine Nachricht, informieren wir dich per E-Mail und in der App auf Wunsch per Push (Abschnitt 18). Die Push-Mitteilung enthält den Namen der absendenden Person, den Anzeigentitel und den Anfang der Nachricht.
• Anzeigen, Nachrichten und Bewertungen speichern wir, solange dein Konto besteht oder bis du sie löschst. Löschst du dein Konto, löschen wir alle Nachrichten von und an dich; Bewertungen, die du abgegeben hast, und Meldungen bleiben ohne Bezug zu dir.

10. Rezepte, Feedback-Board und Kontakt

Rezepte: Eingereichte Rezepte (Text, Bilder, verwendete Produkte) veröffentlichen wir nach Prüfung mit deinem Anzeigenamen. Veröffentlichte Rezepte übersetzen wir automatisch in unsere anderen Sprachen; dafür schicken wir den Rezepttext ohne Konto- oder Kontaktdaten an Anthropic (Abschnitt 12). Bewertungen und Kommentare zu Rezepten erscheinen sofort mit deinem Anzeigenamen.

Feedback-Board: Fehlermeldungen, Ideen, Kommentare, Abstimmungen und optionale Screenshots nutzen wir, um die Plattform zu verbessern. Beiträge erscheinen mit deinem Anzeigenamen und Profilbild. Enthalten sie Wörter von unserer Sperrliste, prüfen wir sie vor der Veröffentlichung.

Kontakt: Schreibst du uns über das Kontaktformular, erhalten wir per E-Mail Name, E-Mail-Adresse, Thema und Nachricht, Sprache bzw. Domain, die Seite, von der du schreibst, und – wenn du angemeldet bist – deine Konto-ID. Auf unserem Server speichern wir die Anfrage nicht, nur im Postfach (Microsoft 365, Abschnitt 11). Zum Schutz vor Missbrauch zählen wir Anfragen kurzzeitig über eine Prüfsumme. Wir verarbeiten deine Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO) und löschen Kontaktanfragen 1 Jahr nach Abschluss, soweit keine gesetzliche Aufbewahrungspflicht besteht.

11. E-Mail-Versand

Bestätigungscodes, Freischaltungs- und Systemnachrichten sowie – nur wenn du sie im Onboarding oder in den Einstellungen wählst – Zusammenfassungen zu Aktionen und Neuigkeiten versenden wir über den Versanddienst Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich). Für unser eigenes Postfach nutzen wir Microsoft 365 (Microsoft Ireland Operations Ltd., Irland). Beide verarbeiten die Daten in unserem Auftrag (Art. 28 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (System-E-Mails) bzw. lit. a DSGVO (Zusammenfassungen); Zusammenfassungen kannst du jederzeit in den Einstellungen abbestellen. Gewinnbenachrichtigungen schicken wir auch dann, wenn du andere E-Mails abbestellt hast.

Newsletter: Den Newsletter verschicken wir über Brevo, nur nach deiner Anmeldung mit Bestätigungslink (Double-Opt-in). Brevo erhält dafür nur deine E-Mail-Adresse. Die Anmeldung ist unabhängig von deinem Konto: Du meldest dich über den Link in jeder Ausgabe ab; löschst du dein Konto, bleibt die Newsletter-Anmeldung bestehen, bis du dich abmeldest. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Nach der Abmeldung behalten wir nur einen Sperrvermerk, damit du keinen Newsletter mehr erhältst, und den Nachweis der Einwilligung, solange wir ihn zum Nachweis benötigen (Art. 6 Abs. 1 lit. c DSGVO). Meldest du dich in der App oder angemeldet auf der Website an, speichern wir zusätzlich mit deinem Konto einen Nachweis deiner Einwilligung: Zeitpunkt, wo du eingewilligt hast (z. B. Einführung der App), Version und Wortlaut des angezeigten Einwilligungstexts, Sprache und gewählte Kanäle (E-Mail, ggf. Push) – keine IP-Adresse. Den Bestätigungsklick protokolliert Brevo. Rechtsgrundlage für den Nachweis ist Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO; der Nachweis wird mit deinem Konto gelöscht. Wenn du dich mit der E-Mail-Adresse deines Kontos zum Newsletter anmeldest und die Anmeldung bestätigst, schreiben wir dir einmalig 30 Club-Punkte gut. Dazu fragen wir bei Brevo ab, ob deine Anmeldung bestätigt ist; gespeichert wird an deinem Konto nur, dass und wann die Gutschrift erfolgt ist. Für das Aktivieren von Mitteilungen in der App erhältst du einmalig 20 Punkte. Die Punkte sind ein freiwilliges Dankeschön; die Nutzung der App hängt nicht davon ab, und eine Abmeldung nimmt die Punkte nicht zurück.

Zustellung, Öffnungen und Klicks: Brevo erfasst, ob eine E-Mail zugestellt wurde, ob sie geöffnet wurde (über ein unsichtbares Pixel) und ob ein Link darin angeklickt wurde. Öffnungen und Klicks werten wir nur zusammengefasst je Mail-Art bzw. Newsletter-Ausgabe aus. Den Zustell-Status jeder E-Mail (z. B. zugestellt oder unzustellbar) speichern wir zusätzlich bis zu 90 Tage, um Zustellprobleme zu erkennen. Rechtsgrundlage ist beim Newsletter deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), bei System-E-Mails unser berechtigtes Interesse an einer zuverlässigen Zustellung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst das Nachladen von Bildern in deinem E-Mail-Programm abschalten.

12. KI-Chat „SuppligatorAI“ und automatische Übersetzung

Angemeldete und freigeschaltete Mitglieder können Fragen zu Produkten an unseren KI-Chat stellen. Zur Beantwortung übermitteln wir deine Frage und den bisherigen Verlauf des Gesprächs (in der App die letzten 12 Nachrichten, je höchstens 2.000 Zeichen) zusammen mit Produktdaten aus unserem Katalog an Anthropic (Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA). Wir senden keine Konto-ID, keinen Namen und keine E-Mail-Adresse. Anthropic verarbeitet die Daten in unserem Auftrag; nach den kommerziellen Bedingungen von Anthropic werden Daten aus der API-Nutzung nicht zum Training der Modelle verwendet.

Was wir speichern: Wir speichern die Chatverläufe nicht; die App hält den Verlauf nur, solange der Chat geöffnet ist. Zur Missbrauchsbegrenzung zählen wir die Anzahl der Fragen je Konto und Tag und löschen den Zähler nach einem Tag.

Rechtsgrundlage: In der App bitten wir dich vor der ersten Frage um deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie jederzeit widerrufen, indem du den KI-Chat nicht mehr nutzt und uns schreibst. Auf der Website ist Rechtsgrundlage die Bereitstellung der von dir aufgerufenen Funktion (Art. 6 Abs. 1 lit. b DSGVO).

Übermittlung in die USA: auf Grundlage geeigneter Garantien gemäss Art. 44 ff. DSGVO (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss/EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist).

Gib bitte keine Gesundheitsdaten oder anderen sensiblen persönlichen Daten in den Chat ein. Die Antworten werden automatisch erzeugt und können ungenau sein; sie sind keine medizinische Beratung.

13. WhatsApp-Community

14.2 Monatsverlosung „Freunde werben“

14.4 Adventskalender

15. Freiwillige Identitätsprüfung

Für das Abzeichen „verifiziertes Mitglied“ im Marktplatz kannst du freiwillig deine Identität prüfen lassen. Die Prüfung (Foto eines Ausweisdokuments und Selfie) führt Stripe Identity (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland) auf eigenen Seiten durch. Damit wir das Ergebnis deinem Konto zuordnen können, übermitteln wir Stripe deine Konto-ID. Wir erhalten nur das Ergebnis (verifiziert ja/nein) und den Zeitpunkt, keine Ausweisdaten, und schreiben für die abgeschlossene Prüfung 100 Punkte gut. Den Status speichern wir, bis du dein Konto löschst. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

16. Rabattcodes und Links zu Partner-Shops

Wir zeigen Rabattcodes und verlinken auf die Shops der Marken (z. B. More Nutrition, ESN, More Taste, OACE) sowie teilweise auf Amazon. Einige dieser Links sind Partner-Links: Kaufst du nach einem Klick ein, erhalten wir möglicherweise eine Provision; für dich ändert sich der Preis nicht. Beim Klick verlässt du unsere Website bzw. App; die Shops verarbeiten deine Daten in eigener Verantwortung, ggf. auch mit Cookies zur Zuordnung des Rabattcodes oder der Provision. Wir selbst erfassen dabei nur anonym über Plausible, zu welchem Shop geklickt wurde (Abschnitt 5). Bitte beachte die Datenschutzerklärungen der jeweiligen Shops.

17. Social Media

Wir verlinken auf unsere Profile bei Instagram und TikTok. Es handelt sich um einfache Links ohne eingebettete Inhalte; erst wenn du einen Link anklickst, werden Daten an den jeweiligen Anbieter übertragen.

Instagram-Nachrichten: Wenn du uns auf Instagram eine Direktnachricht schickst, auf eine Story antwortest oder uns in einer Story erwähnst, wird diese Nachricht über den Dienst ManyChat (ManyChat, Inc., USA, offizieller Partner von Meta) an unseren Server weitergeleitet. Wir speichern dabei deinen Instagram-Namen, deinen Anzeigenamen, den Text, ggf. den Link zu einem Anhang und den Zeitpunkt, um deine Nachricht zu bearbeiten und Teilnahmen an Aktionen zu erfassen (Art. 6 Abs. 1 lit. b und f DSGVO). Wir antworten nicht automatisiert. Die Einträge löschen wir nach 90 Tagen, auf Wunsch früher. Meta verarbeitet deine Nachrichten zudem nach den eigenen Datenschutzbestimmungen von Instagram.

18. App „Suppligator“ (iOS und Android)

18.1 Bezug über App Store und Google Play

Die App lädst du über den App Store von Apple (Apple Distribution International Ltd., Irland) oder Google Play (Google Ireland Limited, Irland). Für Download, Updates und Bewertungen verarbeiten Apple bzw. Google Daten in eigener Verantwortung; darauf haben wir keinen Einfluss. Von den Stores erhalten wir nur zusammengefasste Statistiken (z. B. Downloads und Abstürze je Version), keine Daten über dich persönlich. Die App ist kostenlos und enthält keine Käufe.

18.2 Konto in der App

Die App nutzt dasselbe Konto wie die Website (Abschnitte 7 bis 15). Sie spricht nur mit unserem eigenen Server, verschlüsselt über HTTPS, und öffnet externe Links in deinem Standard-Browser.

18.3 Push-Mitteilungen und Live-Aktivitäten

Erlaubst du Mitteilungen, speichern wir mit deinem Konto eine Push-Kennung (Token) deines Geräts, Plattform, Sprache, App-Version und deine gewählten Themen (höchstens 10 Geräte). Zugestellt werden die Mitteilungen direkt über den Apple Push Notification service (Apple Inc., USA) bzw. Firebase Cloud Messaging (Google Ireland Ltd. bzw. Google LLC, USA). Apple bzw. Google erhalten dafür das Token und den Text der Mitteilung (z. B. bei einer Marktplatz-Nachricht Name der absendenden Person, Anzeigentitel und Nachrichtenanfang; bei einem Gewinn im Adventskalender den Hinweis auf den Gewinn). Startest du auf iOS eine Live-Aktivität für eine Aktion, speichern wir dafür Aktualisierungs-Tokens und eine zufällige Geräte-Kennung; die Aktualisierungs-Tokens löschen wir nach 12 Stunden.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG); du kannst sie jederzeit in den Einstellungen des Geräts oder der App widerrufen. Push-Tokens löschen wir beim Abmelden in der App, wenn das Gerät nicht mehr erreichbar ist, oder wenn du dein Konto löschst. Die Übermittlung in die USA erfolgt auf Grundlage geeigneter Garantien gemäss Art. 44 ff. DSGVO (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss/EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist).

Versand-Protokoll: Zu jeder Mitteilung speichern wir für bis zu 90 Tage, an welches Konto und Gerät (Plattform, App-Version, Sprache, gekürzte Push-Kennung) sie ging und ob Apple bzw. Google sie angenommen hat – zur Fehlersuche und zum Entfernen ungültiger Kennungen (Art. 6 Abs. 1 lit. f DSGVO). Texte persönlicher Mitteilungen (z. B. Marktplatz-Nachrichten) speichern wir dabei nicht.

Frühere App-Version (OneSignal): Für Push-Mitteilungen an die frühere Version der Suppligator-App nutzen wir OneSignal (OneSignal, Inc., USA) als Auftragsverarbeiter (Art. 28 DSGVO). OneSignal verarbeitet dafür eine Push-Kennung deines Geräts, Gerätetyp, Betriebssystem- und App-Version, Sprache, Zeitzone, den Zeitpunkt der letzten Nutzung sowie Zustellung und Öffnung der Mitteilungen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG), die du jederzeit in den Einstellungen deines Geräts widerrufen kannst. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von EU-Standardvertragsklauseln. Die Daten bei OneSignal löschen wir, sobald die frühere App-Version nicht mehr genutzt wird.

Aktionen verfolgen: Tippst du als angemeldetes Mitglied in der App auf „Aktion verfolgen“ (Live-Aktivität bzw. laufende Mitteilung) oder setzt du eine Erinnerung für eine Aktion, speichern wir mit deinem Konto, welche Aktion du wann verfolgt hast (höchstens 200 Aktionen), und vergeben daraus – zusammen mit deinen E-Mail-Erinnerungen und Live-Aktivitäten – das Abzeichen „Deal-Scout“. Beendest du das Verfolgen, entfernen wir die Aktion aus dieser Liste; für das Abzeichen bleibt vermerkt, dass du sie verfolgt hast. Sichtbar ist nur das Abzeichen, nicht die Liste der Aktionen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Angaben löschen wir mit deinem Konto.

18.4 Absturzberichte und Nutzungsstatistik

Absturzberichte: Stürzt die App ab oder tritt ein Fehler auf, schickt sie einen Bericht an unseren eigenen Server: Fehlerart, bereinigte Fehlermeldung und technischen Ablauf, App- und Systemversion, Geräteklasse und Sprache, den Bildschirm der App, auf dem der Fehler auftrat, und eine zufällige Installations-Kennung. Die Berichte enthalten keine Konto- oder Kontaktdaten; die Kennung wechselt alle 30 Tage und ist nicht mit deinem Konto verknüpft. Absturzberichte sind eingeschaltet; du kannst sie unter Konto → Einstellungen → Datenschutz ausschalten. Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen App (Art. 6 Abs. 1 lit. f DSGVO; für das Auslesen auf dem Gerät § 25 Abs. 2 Nr. 2 TDDDG).

Nutzungsstatistik: Nur wenn du zustimmst, zählt die App anonym, welche Funktionen genutzt werden (z. B. Bereiche geöffnet, Code kopiert, Shop geöffnet, Widget hinzugefügt, Live-Aktivität gestartet, Suche mit oder ohne Treffer – ohne Suchtext). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit in den Einstellungen widerrufen; noch nicht gesendete Daten werden dann verworfen.

Mitteilungen: Mit dieser Einwilligung meldet die App ausserdem, ob eine Push-Mitteilung auf deinem Gerät angekommen ist und ob du sie geöffnet hast. Übermittelt wird dafür nur die Nummer der Mitteilung (beim Öffnen zusammen mit der zufälligen Installations-Kennung wie bei allen Ereignissen der Nutzungsstatistik) – ohne Bezug zu deinem Konto und ohne deine Push-Kennung. Wir zählen daraus nur, wie oft eine Mitteilung angekommen bzw. geöffnet wurde.

Für beides gilt: Wir speichern keine IP-Adresse; zum Schutz vor Missbrauch bilden wir nur kurzzeitig eine täglich wechselnde Prüfsumme. Absturzberichte verlassen unseren Server nicht. Die Nutzungsstatistik leiten wir zusätzlich an Plausible Analytics weiter (Abschnitt 5, Auftragsverarbeitung, Server in der EU): Ereignisname, App-Bildschirm als Muster ohne Inhalte (z. B. /deal/:id), Marke bzw. Shop beim Kopieren eines Codes oder Öffnen eines Shops, App-Version und Sprache. Statt deiner IP-Adresse erhält Plausible eine aus der zufälligen Installations-Kennung abgeleitete Pseudo-Kennung, aus der Plausible nur eine täglich verworfene Prüfsumme bildet. Es gibt keine Werbe-ID und kein Tracking über Apps hinweg. Speicherdauer: Absturzberichte 90 Tage, einzelne Nutzungsereignisse 7 Tage, Tagessummen ohne Kennung 400 Tage. Als kleines Dankeschön schreiben wir angemeldeten Nutzern für die Einwilligung in die Nutzungsstatistik einmalig 10 Club-Punkte gut; dafür wird an deinem Konto nur die Gutschrift vermerkt, nicht die Nutzungsdaten. Ein Widerruf nimmt die Punkte nicht zurück.

Erteilst du in der App die Einwilligung „App verbessern“, gehört dazu neben dieser Statistik auch die Werbemessung mit Meta (Abschnitt 5a); nur dafür werden eine Werbe-ID und Daten an Meta genutzt. Ohne diese Einwilligung nutzt die App keine Werbe-ID und kein Tracking über Apps hinweg.

18.5 Anzeigen von Partnern in der App

Die App zeigt gekennzeichnete Partner-Werbeplätze („Anzeige“) ohne Werbe-SDK für diese Plätze und ohne Tracking (Werbemessung mit Meta nur nach Einwilligung, Abschnitt 5a). Sichtbarkeit und Klicks zählen wir anonym wie in Abschnitt 8.

18.6 Berechtigungen

Die App fragt nur bei Bedarf nach Kamera und Fotos (Profilbild, Fotos für Anzeigen, Bewertungen und Bestell-Screenshots – du wählst einzelne Bilder aus; die App liest nicht deine ganze Mediathek) und nach Mitteilungen. Standort, Kontakte und Kalender liest die App nicht aus; einen Kalendereintrag zu einer Aktion speicherst du selbst über das System.

Im Trainingsbereich greift die App – nur mit deiner gesonderten Einwilligung – zusätzlich auf Apple Health bzw. Health Connect zu (Abschnitt 8b).

18.7 Konto löschen in der App

Unter Konto → Einstellungen → Konto löschen (siehe Abschnitt 7 und die Seite Konto löschen).

19. Empfänger und Übermittlung in Drittländer

Deine Daten erhalten nur die oben genannten Dienstleister, soweit es für den jeweiligen Zweck erforderlich ist. Dienstleister, die in unserem Auftrag tätig sind (u. a. Raidboxes, Cloudflare, Plausible, Brevo, Microsoft, Anthropic, Google (Firebase), OneSignal, Whapi.Cloud, ManyChat, Fillout, OCR.space), verarbeiten die Daten nur nach unseren Weisungen (Art. 28 DSGVO).

Empfänger in eigener bzw. gemeinsamer Verantwortung: Meta Platforms Ireland Ltd. (nur mit Einwilligung, Abschnitt 5a).

Eine Übermittlung in Länder ausserhalb der EU bzw. des EWR (insbesondere die USA) kann erfolgen beim KI-Chat und bei der Übersetzung von Rezepten (Anthropic, Abschnitte 10 und 12), bei Push-Mitteilungen (Apple, Google, OneSignal, Abschnitt 18), bei der Werbemessung mit Meta (Abschnitt 5a, Data Privacy Framework), bei der Anmeldung mit Google oder Apple (Abschnitt 7a), bei Instagram-Nachrichten (ManyChat, Abschnitt 17), beim Teilnahmeformular (Fillout, Abschnitt 14), gegebenenfalls beim Auslesen der WhatsApp-Gruppe (Whapi.Cloud) und bei der Texterkennung durch OCR.space (Abschnitte 8 und 14) sowie durch Unterauftragnehmer der genannten Dienstleister. Sie erfolgt jeweils auf Grundlage geeigneter Garantien gemäss Art. 44 ff. DSGVO (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss/EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist). Eine Übermittlung in die USA kann ausserdem bei der Auslieferung über Cloudflare erfolgen (Abschnitt 4a, Data Privacy Framework).

20. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen (z. B. 6 bzw. 8 Jahre nach §§ 147 AO, 257 HGB). Im Überblick:

21. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, erteilte Einwilligungen jederzeit zu widerrufen (Art. 7 Abs. 3). Eine E-Mail an info@suppligator.de genügt. Dein Konto kannst du jederzeit selbst in der App oder auf der Website löschen (Abschnitt 7).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (Kavalleriestrasse 2–4, 40213 Düsseldorf) oder – wenn du in Österreich lebst – bei der österreichischen Datenschutzbehörde (Barichgasse 40–42, 1030 Wien). Wenn du in der Schweiz lebst, kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, Feldeggweg 1, 3003 Bern) wenden (Abschnitt 21a).

21a. Hinweise für Nutzerinnen und Nutzer in der Schweiz

Nutzt du Suppligator aus der Schweiz (insbesondere über suppligator.ch), gilt diese Datenschutzerklärung auch im Sinne des schweizerischen Bundesgesetzes über den Datenschutz (DSG, revidierte Fassung in Kraft seit 1. September 2023). Begriffe der DSGVO verwenden wir dabei sinngemäss; „personenbezogene Daten“ entsprechen den „Personendaten“, „Verarbeitung“ der „Bearbeitung“ im Sinne des DSG. Verantwortlich ist der in Abschnitt 1 genannte Verantwortliche. Die in dieser Erklärung genannten Rechtsgrundlagen der DSGVO gelten sinngemäss als Rechtfertigungsgründe im Sinne des DSG, soweit ein solcher erforderlich ist.

Bekanntgabe ins Ausland: Wir bearbeiten deine Daten in Deutschland bzw. in der EU/im EWR; der Schweizerische Bundesrat hat für diese Staaten einen angemessenen Datenschutz festgestellt (Anhang 1 der Datenschutzverordnung, DSV). Soweit Daten in die in dieser Erklärung genannten Drittländer – insbesondere die USA – bekanntgegeben werden, geschieht das an Empfänger, die nach dem Swiss-US Data Privacy Framework zertifiziert sind (vom Bundesrat seit 15. September 2024 als angemessen anerkannt), oder auf Grundlage der EU-Standardvertragsklauseln mit den für die Schweiz erforderlichen Anpassungen (Art. 16 Abs. 2 DSG).

Deine Rechte nach DSG: Du hast insbesondere das Recht auf Auskunft (Art. 25 DSG), auf Berichtigung sowie Löschung bzw. Vernichtung deiner Daten (Art. 32 DSG), auf Herausgabe oder Übertragung deiner Daten (Art. 28 DSG) und das Recht, der Bearbeitung zu widersprechen (Art. 30 Abs. 2 lit. b DSG). Eine E-Mail an info@suppligator.de genügt.

Beschwerde: Du kannst dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch, wenden.

Vertretung in der Schweiz: Einen Vertreter in der Schweiz nach Art. 14 DSG haben wir nicht bestellt. Für alle Anliegen zum Datenschutz erreichst du uns direkt unter info@suppligator.de.

22. Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschliesslich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Die Freischaltung neuer Konten prüfen wir manuell. Bestell-Screenshots prüfen wir automatisch per Texterkennung; bist du mit dem Ergebnis nicht einverstanden, schreib uns – wir prüfen dann von Hand.

23. Änderungen

Wir passen diese Datenschutzerklärung an, sobald sich unsere Datenverarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.