Datenschutzerklärung

Wie Bonloo Daten verarbeitet, in der iOS-App, in der Web-App und auf dieser Website sowie, sobald veröffentlicht, in der Android-App. Stand: 15. Oktober 2026.

2. Welche Daten Bonloo verarbeitet

Bonloo führt Einkaufslisten, schätzt Vorräte und Reichweiten, zeigt Datum-Check-Erinnerungen, wertet erfasste Kassenbons aus und schlägt Rezepte vor. Je nach genutzter Funktion:

• Konto: E-Mail-Adresse, interne Konto-ID, Anmelde- und Sitzungsdaten, auf Wunsch ein Anzeigename. Das Passwort verarbeitet der Anmeldedienst; Bonloo sieht es nicht im Klartext. Meldest du dich mit Apple oder Google an, erhält Bonloo vom jeweiligen Anbieter nur deine E-Mail-Adresse (bei Apple auf Wunsch eine weitergeleitete Adresse), eine Kennung und gegebenenfalls deinen Namen; ein Passwort gibt es dann bei Bonloo nicht.
• Anmelde-E-Mails: Wenn der E-Mail-Versand über Resend aktiviert ist, verarbeitet Resend deine E-Mail-Adresse, den Inhalt der von dir angeforderten Bestätigungs-, Anmelde- oder Zurücksetzungsnachricht sowie Zustellungs- und Fehlerdaten.
• App-Inhalte: Einkaufslisten, Bonzeilen, Markt, Kaufdatum, Mengen und Preise, Einkaufs- und Vorratsverlauf, freiwillige Packungsdaten und Datum-Check-Erinnerungen, Rezepte, Favoriten und Wochenplan, Budgets, Einstellungen, Fortschritt in der App (Level, Aufgaben, Sammlung).
• Feedback: wenn du unter Mehr → Feedback schreibst: Art der Nachricht, optional eine Bewertung, dein Text und der Zeitpunkt. Nur wenn du es einschaltest, kommen deine Konto-E-Mail-Adresse (für eine Antwort) und App-Infos (Bauversion, Plattform, Bereich) dazu. Einkäufe, Preise und Bons werden nie mitgesendet. Das Feedback wird mit deinem Konto gelöscht.
• Bonloo Plus (Abo): ob und bis wann dein Konto freigeschaltet ist (Abo, Test oder Freischaltung), der gewählte Plan und bei einem Kauf in der iOS-App die Transaktionskennungen von Apple (keine Zahlungsdaten, die Zahlung wickelt Apple ab). Wie oft du Funktionen mit monatlichem Kontingent genutzt hast, zählt nur dein Gerät.
• Freundeinladungen und Creator-Codes: Wenn du einen Einladungscode oder Creator-Link nutzt, speichert Bonloo den verwendeten Code, die betroffenen Konto-IDs, Status und Zeitpunkt der Einlösung sowie eine mögliche Plus-Gutschrift. Ein persönlicher Empfehlungslink erfasst keine Link-Klicks. Bei einem Creator-Code wird das Konto zusätzlich einer Kampagne zugeordnet. Wenn dieses Konto später ein Abo über Apple oder Google kauft, verarbeitet Bonloo Store, Produkt, Plan, Transaktionsreferenz, Prüf- und Erstattungsstatus sowie den gespeicherten Provisionssatz und gegebenenfalls Abrechnungs- und Auszahlungsreferenzen. Bonloo erhält dabei keine Karten- oder Kontodaten des Abonnements; Zahlung und Store-Vertrag laufen über Apple oder Google.
• Haushalt: Haushaltsname, Mitgliedschaft, Rolle, Einladungs- und Freigabestatus sowie Inhalte, die du mit einem Haushalt teilst.
• Optionale Ernährungsprofile (siehe Abschnitt 10).
• Technische Daten: Anmelde- und Synchronisierungszeitpunkte, App-Bauversion und Plattform, letzte Synchronisierungsfehler sowie Anfrage- und Sicherheitsprotokolle der eingesetzten Dienste (z. B. IP-Adresse in Server-Logs).
• Einwilligungs- und KI-Freigabenachweise: Art, Fassung und Zeitpunkt deiner Entscheidung sowie, bei einer einzelnen KI-Anfrage, ein kurzlebiger Freigabenachweis mit Konto, Verarbeitungsweg und Ablaufzeit. Der Freigabenachweis enthält keine Boninhalte.
• Bonloo-Beitrag (nur mit frischer v3-Einwilligung): der synchronisierte Einkaufsstand, künftige gebuchte Einkäufe und Bonzeilen zu gebuchten geeigneten Positionen. Bon-Beiträge nutzen einen monatlich wechselnden Pseudonymschlüssel; Preisbeobachtungen zusätzlich einen stabilen Haushalts-Pseudonymwert. Filter für sensible Waren sind nicht vollständig (Abschnitt 6).
• Optionale Nutzungsanalyse: nach deiner Wahl grobe Wochenzähler zu Website-Bereichen, Klickarten und aktiver Sichtzeit sowie in der App zu geöffneten Bereichen, Interaktionsarten und aktiver Nutzungszeit. Die gespeicherten Wochenaggregate enthalten keine Nutzer-, Haushalts-, Geräte-, Sitzungs-, Beitrags-, HMAC- oder Quotenkennungen. Der zufällige Website-Schlüssel für Zustimmung und Widerruf bleibt getrennt von den Nutzungswerten. Einzelereignisse und genaue Zeitpunkte werden nicht als Nutzungswerte gespeichert. Kleine Gruppen können dennoch Rückschlüsse zulassen; Bonloo verspricht deshalb keine vollständige Anonymität.

Bonloo verkauft keine personenbezogenen Daten, zeigt keine Werbung und setzt kein Tracking- oder Werbe-SDK ein. Die optionale eigene Nutzungsanalyse startet nur nach deiner Zustimmung; sie dient ausschließlich der Verbesserung von Bonloo.

3. Verarbeitung auf deinem Gerät und Synchronisierung

Bonloo setzt keine Werbe- oder Analyse-Cookies. Die Web-App speichert Listen, Vorräte, Einstellungen und den Anmeldestatus im Gerätespeicher, damit die von dir aufgerufenen Funktionen sowie Synchronisierung und Offlinebetrieb arbeiten. Supabase speichert die angemeldete Sitzung dabei standardmäßig lokal im Browser; die Anfragen an Supabase verwenden keine Cookie-Anmeldedaten. Der Service Worker hält App-Dateien im Browser-Cache für den Offlinebetrieb vor und entfernt veraltete App-Versionen beim Aktualisieren. Beim Teilen eines Bons kann die Web-App Datei und Text kurz in einem separaten Cache ablegen und nach der Übernahme wieder löschen. Ergebnisse einer Produkterkennung bleiben nur bis zum Neuladen oder Schließen der App im Arbeitsspeicher.

Auf dieser Website wird deine Analyse-Auswahl im lokalen Browser-Speicher gemerkt. Ein zufälliger Browser-Schlüssel wird nur getrennt davon benötigt, damit Bonloo deine Zustimmung prüfen und einen Widerruf entgegennehmen kann; er wird nicht mit Nutzungswerten verknüpft. Es gibt keine Sitzungskennung für die Nutzungsanalyse. Die Website-Auswahl kannst du im Footer oder über „Cookie- & Speichereinstellungen“ ändern. Diese Speicherarten sind Browser-Speicher, keine Cookies. Bonfotos und PDFs werden nach deinem einmaligen Ja mit OpenAI gelesen; ohne Ja liest Bonloo auf deinem Gerät oder du erfasst den Einkauf von Hand.

Mit Konto wird der App-Stand nach Änderungen verschlüsselt (TLS) an das Bonloo-Backend bei Supabase übertragen und dort gespeichert, damit er auf deinen Geräten und für die Mitglieder deines Haushalts verfügbar ist. Speicherort: EU (Frankfurt am Main, AWS eu-central-1). Berechtigte Personen des Bonloo-Teams können im Administrationsbereich Konto- und Qualitätsdaten einsehen, soweit das für Betrieb, Support und Fehlerbehebung nötig ist. Dazu können einzelne Bonpositionen gehören. Nutzungsanalyse-Daten werden dort nur als Wochenwerte ohne gespeicherte Nutzerkennung angezeigt. Zugriffe auf privilegierte Dashboard-Daten und administrative Änderungen werden vor der Anzeige bzw. Änderung mit Rolle, Zeitpunkt, Zweck und Aktion protokolliert; die Protokolle enthalten nicht den angezeigten Bon- oder Falltext. Die eigentlichen App- und Haushaltsdaten bleiben mit deinem Konto bzw. Haushalt verknüpft, soweit das für Synchronisierung und gemeinsame Funktionen erforderlich ist.

4. Kassenbons (Foto oder PDF) und KI-Erkennung

Beim ersten Bon-Scan fragt Bonloo einmal, ob ausgewählte Bonfotos und Bon-PDFs über Bonloos Server mit der OpenAI-API gelesen werden dürfen. Dein Ja gilt für alle künftigen Scans, bis du es unter Einstellungen → Datenschutz widerrufst; je Scan wird nicht erneut gefragt. OpenAI liest zuerst den sichtbaren Bontext aus. Danach gleichen Bonloos lokale Parser- und Produktabgleichsalgorithmen die Positionen mit dem lokalen Produktkatalog ab. Vor jedem Anbieteraufruf prüft Bonloos Server die Freigabe; fehlt sie oder kann sie nicht bestätigt werden, wird nichts übertragen. Ohne Ja liest Bonloo Bons auf deinem Gerät (Texterkennung auf dem Gerät, etwas weniger genau) oder du erfasst den Einkauf von Hand.

Dabei liest OpenAI den Bon in einer strukturierten Antwort; Bonloo rechnet die Summe nach und vergleicht sie mit der Texterkennung auf deinem Gerät. Stimmt etwas nicht, gehen in einem zweiten Schritt nur die betroffenen Bildausschnitte noch einmal an OpenAI. Für Zeilen, die Bonloo nicht kennt, geht danach nur deren Text mit Preis und Handelskette (kein Bild, keine Kennung) zur Benennung an OpenAI. Das sind höchstens drei Anfragen je Bon (Fassung „bon-ki-v5“ der Einwilligung). Auf einem Bon können Zahlungs-, Kunden- oder Adressangaben sichtbar sein und Käufe, die etwas über deine Gesundheit verraten können, zum Beispiel Apothekenartikel. Sie gehen mit, wenn sie auf dem Foto zu sehen sind; mit deinem Ja willigst du ausdrücklich auch in die Verarbeitung solcher Angaben ein.

Während der Lesung legt Bonloo vorübergehend eine kontogebundene, zufällige Scan-Kennung an. Bei einem Fehler wird der Startmarker gelöscht; falls das technisch scheitert, wird er spätestens nach etwa 20 Minuten bereinigt. Nach einer erfolgreichen Lesung bleibt die Kennung mit Nutzer-ID und Zeitstempel bis zu 30 Tage gespeichert. Sie verhindert, dass ein Einladungscode erst nach der ersten eigenen Bon-KI-Lesung eingelöst wird, und unterscheidet Bons der Mitglieder eines gemeinsamen Haushalts. Wenn bereits ein Einladungscode offen ist, speichert Bonloo zusätzlich technische Prüfwerte (Hashes) der gesendeten Dateien und erkannten Texte sowie erkannte Bonzeilen mit Beträgen bis zur abgeschlossenen Prüfung, höchstens 30 Tage (Details im Anhang). Diese Details werden nach einer Gutschrift oder endgültigen Ablehnung sofort geleert; übrige Einträge werden nach Ablauf gelöscht. Bonloo speichert weder Bildkopien noch den vollständigen OCR-Text.

Fotos werden vor der Übertragung verkleinert und ohne Bildmetadaten (z. B. Standort) übertragen. PDFs werden als PDF mit neutralem Dateinamen übertragen; eingebettete PDF-Metadaten können darin enthalten bleiben. Die Responses-API-Anfrage setzt store: false; OpenAI kann Inhalte zur Missbrauchserkennung standardmäßig bis zu 30 Tage aufbewahren. API-Eingaben werden nach OpenAIs Angaben nicht zum Modelltraining verwendet (OpenAI: Datenkontrollen). Prüfe Fotos und PDF-Seiten vor dem Einschalten auf sichtbare Zahlungs-, Kunden- oder Transaktionsdaten.

Die KI-Ergebnisse bleiben Vorschläge. Bonloo bucht nichts automatisch; du prüfst und bestätigst die Bonzeilen selbst. Für den Qualitätsvergleich merkt sich die App nur Zahlen und Produktkennungen, keinen Bontext.

5. Vorrat per Foto (optional)

Im Bestand kannst du Fotos von Kühlschrank, Regal oder Vorratsschrank aufnehmen und, nach deinem einmaligen Ja beim ersten Vorratsfoto (es gilt bis zum Widerruf unter Einstellungen → Datenschutz), an die OpenAI-API senden. Sie erkennt sichtbare Lebensmittel und Haushaltswaren mit Anzahl. Vor dem Anbieteraufruf prüft Bonloos Server die Freigabe; fehlt sie oder kann sie nicht bestätigt werden, wird nichts übertragen. Es gelten dieselben Regeln wie in Abschnitt 4: verkleinert, ohne Metadaten, keine Speicherung bei Bonloo, store: false. store: false bedeutet nicht, dass bei OpenAI nichts gespeichert wird: OpenAI kann Inhalte zur Missbrauchserkennung standardmäßig bis zu 30 Tage aufbewahren; nach OpenAIs Angaben dienen sie nicht dem Modelltraining. Die Verarbeitung erfolgt in den USA. Ohne Foto-Upload kannst du Vorräte unter Bestand → Bestand ergänzen von Hand eintragen. Übernommen wird nur, was du in der Prüfliste bestätigst. Achte darauf, dass keine Personen, Dokumente oder Adressen im Bild sind.

Die Stufen gemeinsamer Auswertung

Bonloo trennt die Verarbeitung in Stufen. Jede Stufe ist nur so weit aktiv, wie du es zulässt; deine Auswahl findest du unter Einstellungen → Datenschutz.

• Stufe 0, nur auf deinem Gerät: Listen, Vorräte, Einstellungen, Bon-Erkennung auf dem Gerät und die Erfassung von Hand. Diese Daten verlassen dein Gerät nicht, außer du nutzt die Synchronisierung oder eine ausdrücklich eingewilligte KI-Funktion.
• Konto und Synchronisierung: Die Synchronisierung ist Pflicht, wenn du ein Konto nutzt. Dann wird der App-Stand verschlüsselt zum Bonloo-Backend bei Supabase übertragen (Abschnitt 3).
• Stufe 1, gemeinsame Produktzuordnung (mit Widerspruch): Wenn Bonloo einen Bon-Eintrag einem Produkt zuordnet oder nicht erkennt, kann eine bereinigte Meldung entstehen: Händlerkette, normalisierte Originalzeile, Zieltyp und Zielprodukt sowie Zuordnungsaktion. Preise, Mengen, Kaufdaten, Konto-IDs und Bon-Kennungen gehören nicht dazu. Du kannst jederzeit widersprechen (Abschnitt 6).
• Stufe 2, Bonloo-Beitrag (nur mit Einwilligung v3): gebuchte Einkäufe mit Produkt, Kategorie, Handelskette, Menge, Preis und Datum (ohne Uhrzeit, ohne Name) sowie Bonzeilen zu gebuchten, geeigneten Positionen mit Originalbezeichnung (auf 160 Zeichen gekürzt), normalisiertem Schlüssel, erster Deutung, Produkt, Menge und Preis. Bon-Beiträge nutzen einen monatlich wechselnden Pseudonymschlüssel. Das Preisnetz (Abschnitt 7) gehört ebenfalls zu Stufe 2. Ohne Einwilligung findet Stufe 2 nicht statt.

Wichtig: Auch Anonymisierung ist eine Verarbeitung personenbezogener Daten und braucht selbst eine Rechtsgrundlage. Bonloo verwendet deshalb Pseudonyme und Mindestgruppengrößen, um Rückschlüsse zu erschweren. Ganz ohne Personenbezug geht es nicht; deshalb bezeichnen wir die Werte nicht pauschal als anonym.

6. Gemeinsames Lernen und Bonloo-Beitrag

Gemeinsame Produktzuordnungen (Stufe 1, mit Widerspruch): Beim ersten Gebrauch zeigt Bonloo einen eigenen Datenschutzhinweis. „Hinweis verstanden“ bestätigt nur, dass du ihn gesehen hast; es ist keine Einwilligung. Solange du nicht widersprichst, kann Bonloo nach dem Bon-Abgleich die Händlerkette, eine normalisierte Originalzeile, den Zieltyp samt Zielprodukt und die Zuordnungsaktion für die gemeinsame Erkennung verarbeiten. Dazu gehören auch Zeilen, die Bonloo nicht erkennt; sie werden in derselben Form gemeldet und erhalten kein Produkt, bevor ein berechtigtes Mitglied des Bonloo-Teams die Zuordnung geprüft hat. Bei nicht erkannten Zeilen sucht die App außerdem automatisch bei Open Food Facts (Abschnitt 9). Eine Meldung enthält keine Preise, Mengen, Kaufdaten oder Bon-Kennungen. Vor der Speicherung prüft der Server Bezeichnungen auf sensible Waren und persönliche Angaben und verwirft Treffer; Ausschlussliste und Grenzen erklärt Abschnitt 11. Automatische Erkennungen können in aggregierte Fallzähler einfließen. Das Fall-Staging enthält Alias, Handelskette, Ziel, Status und Summenzähler, aber keine Konto- oder Haushaltskennung. Für bestätigte oder korrigierte Zuordnungen gibt es eine getrennte technische Zählstruktur, die ohne Konto- oder Haushalts-ID grob erfasst, wie viele Haushalte dieselbe Zuordnung bestätigt haben (Details im Anhang). Noch nicht verarbeitete Queue-Nachrichten werden regulär verarbeitet oder nach 90 Tagen durch einen stündlichen Bereinigungslauf entfernt; bei einem Ausfall kann sich die Bereinigung verzögern. Eigene Variantenmeldungen sind abgeschaltet; kuratierte Produktvarianten aus dem Katalog bleiben verfügbar. Eine im Produktblatt manuell ergänzte Marke bleibt an diesem Kauf im synchronisierten Kontostand und erscheint im Admin-Dashboard als produktbezogene Summe ohne Haushalts- oder Bonkennung; sie ändert nicht automatisch den gemeinsamen Katalog. Der Server prüft den Hinweis und den Widerspruch des beitragenden Kontos; im Widerspruchsmodell entscheidet jedes Konto für sich. Der Widerspruch stoppt neue Meldungen dieses Kontos, entfernt aber keine bereits angenommenen Beiträge aus aggregierten Fallzählern. Diese Beiträge können mit späteren Meldungen noch die Schwellen für eine externe API- oder MCP-Prüfung erreichen und lassen sich nicht einzeln zurücknehmen. Die Freigabeschwellen zählen Ereignisse, keine unterschiedlichen Personen; Wiederholungen können mitzählen. Unklare Fälle warten bis zu 14 Tage; wiederholte Fälle können früher in die manuelle Prüfung gelangen. Vorübergehende Prüf- und KI-Fälle werden spätestens nach 90 Tagen gelöscht. Freigegebene Produkt-Aliase und Bestätigungs-/Korrekturzähler enthalten keine Konto- oder Haushaltskennung, keinen Preis, keine Menge und kein Kaufdatum. Aliase sind Zuordnungen von Bonzeilen zu Produkten und nötig, damit die Erkennung für alle funktioniert. Für sie ist derzeit keine automatische Löschfrist festgelegt. Diese Daten sind nicht pauschal anonym. Du kannst neue Beiträge jederzeit unter Einstellungen → Datenschutz → „Gemeinsame Produktzuordnungen“ stoppen. Bereits aggregierte Zähler und freigegebene Produktzuordnungen lassen sich nicht einem einzelnen Konto zuordnen oder auf dessen Wunsch einzeln herausrechnen.

Seltene, sensible oder personenbezogene Bezeichnungen bleiben intern. Unklare Fälle warten zunächst bis zu 14 Tage; eine Wiederholung kann sie früher in die manuelle Prüfung bringen. Menschliche Prüffälle werden spätestens nach 90 Tagen gelöscht. Wenn der automatische OpenAI-API-Lauf eingeschaltet ist, darf er täglich höchstens 20 Fälle mit bereinigten Alias- und Katalognamen prüfen, ohne Nutzer-, Bon-, Händler-, Preis-, Mengen- oder Kaufdaten. Die Anfrage verwendet store: false; OpenAI kann Inhalte zur Missbrauchserkennung standardmäßig bis zu 30 Tage speichern. Ein Aufruf über ChatGPT MCP erfolgt nicht automatisch, sondern nur durch ein berechtigtes Betreiberkonto; technische Fall- und Produktreferenzen können dabei im Chatverlauf erscheinen. Bereits angenommene Beiträge können nach einem Widerspruch mit späteren Meldungen die Voraussetzungen für diese Prüfungen erreichen, weil einzelne Beiträge nicht mehr zuordenbar sind. Vorschläge werden vor einer Freigabe im Produktkatalog von einem berechtigten Administrator geprüft. Bonloo verspricht für diese Verarbeitung keine vollständige Anonymität.

Bonloo-Beitrag (nur mit neuer Einwilligung v3): Wenn du zustimmst, bezieht Bonloo den bereits synchronisierten Einkaufsstand und künftige gebuchte Einkäufe ein: Produkt, Kategorie, Preis, Menge, Handelskette, Kaufdatum ohne Uhrzeit, Bon-Zugehörigkeit und optional dein Bundesland, aber keinen Namen. Für gebuchte und geeignete Positionen kommen Bonzeilen hinzu: Originalbezeichnung (auf 160 Zeichen gekürzt), bereinigte Bezeichnung, erste Deutung, Bonzeilenposition, Produkt und Variante, Menge, Preis sowie Zuordnungsstatus (automatisch, bestätigt oder korrigiert). Es ist kein vollständiges Register aller gescannten OCR-Zeilen: nicht gebuchte oder weggelassene Zeilen und Bonfotos werden nicht in diesem Beitrag gespeichert. Bon-Beiträge verwenden einen monatlich wechselnden Pseudonymschlüssel. In einem geteilten Haushalt müssen alle aktiven Mitglieder der Fassung v3 zugestimmt haben. Frühere v1/v2-Zustimmungen reichen für neue Beiträge nicht mehr; bis zur neuen Einwilligung bleibt die Übernahme aus.

Preisnetz: Zusätzlich wird nur dann eine Preisbeobachtung erstellt, wenn die v3-Einwilligung vorliegt, alle aktiven Haushaltsmitglieder zugestimmt haben und „Preisbeobachtungen teilen“ eingeschaltet ist. Sie enthält Produkt, Preis/Grundpreis, Menge, Handelskette, grobe Region, Kaufdatum und einen technischen Kaufbezug. Dafür nutzt Bonloo einen stabilen, aus der Haushalts-ID abgeleiteten Pseudonymwert. Das ist pseudonym, nicht anonym, solange Bonloo den geheimen Schlüssel hält. Preisbeobachtungen werden nicht an OpenAI gesendet. Veröffentlicht werden nur aggregierte Werte, frühestens ab 10 Haushalten je Ware (Kette/Region ab 5); ein Haushalt zählt je Produkt höchstens einmal. Die Einstellung lässt sich unter Mehr → Preisnetz ausschalten.

Sensible Waren werden soweit technisch erkennbar herausgefiltert; der Filter ist nicht vollständig. Einzelne Baby-, Gesundheits-, Intim- oder Diätprodukte können durchrutschen. Mit deiner Einwilligung v3 erlaubst du ausdrücklich auch deren Verarbeitung. Name, E-Mail, Adresse, Kartendaten, Bonfotos und vollständiger OCR-Bontext werden nicht in die gemeinsamen Bon- oder Preisbeiträge übernommen. Sensible oder eigene Produkte werden nach den jeweils verfügbaren Filtern ausgeschlossen. Die App funktioniert ohne den Bonloo-Beitrag. Du kannst deine Einwilligung unter Einstellungen → Datenschutz widerrufen. Dann werden Bon- und Preisbeiträge gelöscht; bereits aggregierte Werte lassen sich nicht einzeln herausrechnen. Wird ein Kauf aus der App gelöscht oder ändert sich die Haushaltsmitgliedschaft, aktualisiert Bonloo die betroffenen Zeilen und Beobachtungen.

Aggregierte Ergebnisse: Bonloo gibt nur ausreichend aggregierte Ergebnisse weiter, nie einzelne Bonzeilen, einzelne Einkäufe oder pseudonyme Beitragsdatensätze. Kleine Gruppen können trotzdem Rückschlüsse zulassen; deshalb bezeichnen wir die Werte nicht pauschal als anonym.

7. Preisnetz

Das Preisnetz verwendet die Preisbeobachtungen aus Abschnitt 6. Es gibt keinen separaten Preisbeitrag ohne die Einwilligung v3 zum Bonloo-Beitrag. Die Einstellung „Preisbeobachtungen teilen“ ist zusätzlich abschaltbar. Bei Widerruf der v3-Einwilligung oder wenn ein aktives Haushaltsmitglied nicht mehr zugestimmt hat, löscht Bonloo die pseudonymen Preisbeobachtungen und berechnet die gemeinsamen Marktwerte neu. Demo-Daten werden nie verwendet.

8. Qualitäts- und Nutzungsdaten

Zum synchronisierten App-Stand gehören ein Scan-Protokoll je gebuchtem Bon (Dauer, Erkennungsweg, Anzahl erkannter und korrigierter Zeilen, Handelskette, kein Bontext, keine Preise, keine Produktnamen) und Zähler zur Nutzung der Spiel-Elemente (z. B. angebotene, erledigte oder abgeholte Aufgaben). Diese Daten dienen dem Betrieb und der Qualitätsverbesserung und werden im Administrationsbereich aggregiert ausgewertet.

Optionale App-Analyse: Die Nutzungsanalyse wird einmalig in der Einführung abgefragt und bleibt bis dahin aus. Deine Wahl bleibt gespeichert; unter Einstellungen → Datenschutz & Rechtliches kannst du sie jederzeit ändern oder widerrufen. Die App hält kurze Zähler im Arbeitsspeicher und sendet grobe Angaben zu Bereichen (z. B. Start, Liste, Vorrat), Interaktionsarten und aktiver Zeit. Der Server prüft deine aktuelle Zustimmung und addiert die Werte direkt in Wochenzähler. Er speichert weder einzelne Ereignisse noch Nutzer-, Haushalts-, Geräte-, Sitzungs-, Beitrags-, HMAC- oder Quotenkennungen. App-Version, Plattform, Button-Texte, Suchbegriffe, eingegebene Inhalte, Bontexte und Produktnamen werden für diese Analyse nicht übertragen. Das Dashboard zeigt die gemeinsamen Wochenwerte; es gibt keine Einzelbeiträge, frei wählbaren Datumsfilter oder Tagesverläufe. Kleine Gruppen können trotzdem Rückschlüsse zulassen, deshalb bezeichnen wir die Werte nicht als vollständig anonym. Ein Widerruf stoppt neue Beiträge auf diesem Gerät sofort. Ist das Gerät offline, wird die Änderung beim nächsten Onlinekontakt übertragen; bis zum Serverabgleich kann ein anderes Gerät noch den bisherigen Zustimmungsstand verwenden. Bereits addierte Wochenwerte können nicht einzeln herausgerechnet werden. Ohne aktuelle Zustimmung oder bei einem Speicherfehler wird nichts addiert. Offline-Zähler werden nicht dauerhaft zwischengespeichert und bei fehlgeschlagenem Versand verworfen.

Frühere freiwillige Packungsrückmeldungen: Wenn du in einer früheren App-Version gesondert zugestimmt und eine Rückmeldung zu einer konkreten Packung gesendet hast, verarbeiten wir diese vorhandenen Einzelmeldungen weiter nach deiner damaligen Auswahl. Gespeichert sind Produktkennung, vergangene Tage, geöffneter Zustand, grobe Lagerart und deine Rückmeldung. Bontext, Foto, Preis, genauer Kaufzeitpunkt und Freitext werden nicht übertragen. Neue Rückmeldungen können in der App nicht mehr abgegeben werden. Das Dashboard zeigt nur aggregierte Gruppen und erst ab mindestens 20 Konten, 30 Meldungen, drei verschiedenen Kalenderwochen und 75 % übereinstimmender Richtung einen unverbindlichen Prüfvorschlag. Einzelmeldungen werden spätestens nach 18 Monaten gelöscht; Widerruf oder Kontolöschung entfernt sie sofort.

Optionale Website-Analyse: Auf bonloo.app kannst du gleichwertig zustimmen oder ablehnen; deine Wahl lässt sich über „Cookie- & Speichereinstellungen“ im Footer ändern. Vor deiner Zustimmung läuft keine Analyse. Danach werden besuchte Website-Bereiche, grobe Klickarten und aktive Sichtzeit direkt zu Wochenzählern addiert. Es werden keine einzelnen Besuche, Sitzungskennungen, vollständigen URLs oder Formulareingaben gespeichert. Ein zufälliger Browser-Schlüssel wird ausschließlich getrennt im Zustimmungsnachweis verwendet und nicht mit den Nutzungswerten verbunden. Kleine Gruppen können trotzdem Rückschlüsse zulassen. Für die Missbrauchsbegrenzung wird die IP-Adresse serverseitig nur in technisch umgewandelter Form verwendet, getrennt von der Analyse; Details im Anhang. Die Wochenwerte werden nach 90 Tagen gelöscht.

9. Produktsuche bei Open Food Facts

Erkennt Bonloo eine Bonzeile nicht, sucht die App automatisch bei Open Food Facts nach dem bereinigten Produktnamen; du musst dafür nichts auslösen. Der Suchbegriff geht über Bonloos Server. Kein Preis, kein Kaufdatum und kein Markt werden übermittelt. Open Food Facts sieht dabei nur Bonloos Server, nicht die IP-Adresse deines Geräts; Bonloo speichert den Suchbegriff nicht. Suchbegriffe und Ergebnisse werden nur vorübergehend bis zum Neuladen oder Schließen der App im Arbeitsspeicher zwischengespeichert. Die App sendet diese Anfragen ohne Cookie-Anmeldedaten. Datenschutz bei Open Food Facts.

10. Ernährungsprofile

Unter Mehr → Ernährungsweise kannst du Hinweise für vegetarisch, vegan, proteinreich, Keto, glutenfrei oder laktosefrei einschalten. Keine Angabe ist vorausgewählt. „Glutenfrei“ und „laktosefrei“ können Rückschlüsse auf deine Gesundheit zulassen; sie werden deshalb nur mit deiner ausdrücklichen Einwilligung gespeichert und synchronisiert (Art. 9 Abs. 2 lit. a DSGVO), die die App beim Einschalten abfragt. Ausschalten widerruft die Einwilligung für die Zukunft: das Profil wird dann nicht mehr gespeichert oder synchronisiert, und der Widerruf wird festgehalten. Die Einstellung gehört zum gemeinsamen App-Stand; Mitglieder eines geteilten Haushalts können sie sehen. Auch „vegan“ und „vegetarisch“ können Rückschlüsse auf persönliche Überzeugungen zulassen; sie gehören zum gemeinsamen App-Stand und sind für Mitglieder deines Haushalts sichtbar. Ohne Einwilligung stehen dir die übrigen Ernährungsweisen weiter zur Verfügung. Bonloo stellt keine Diagnosen; maßgeblich bleibt die Kennzeichnung auf der Packung.

11. Zwecke und Rechtsgrundlagen

Feedback an das Bonloo-Team

Deine Nachricht und, wenn du es erlaubst, die Antwort per E-Mail, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Absenden und die beiden Schalter) bzw. lit. f für die Bearbeitung.

Bonloo Plus (Abo, Test, Kauf)

Durchführung des Abonnementvertrags, Art. 6 Abs. 1 lit. b DSGVO.

Konto, App-Inhalte, Synchronisierung, Haushalt

Bereitstellung der von dir genutzten Funktionen, Art. 6 Abs. 1 lit. b DSGVO.

Technisch erforderlicher Geräte-Speicher

Lokale App-Daten, Anmeldung, Offline-Dateien und ausdrücklich gestartete Übergaben unterstützen die von dir genutzten Funktionen. Soweit der jeweilige Zugriff technisch unbedingt erforderlich ist, stützen wir ihn auf § 25 Abs. 2 Nr. 2 TDDDG; die zugehörige Verarbeitung personenbezogener Daten auf Art. 6 Abs. 1 lit. b DSGVO.

KI-Erkennung von Bon- und Vorratsfotos

Deine ausdrückliche Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, einmalig beim ersten Scan und gültig bis zum Widerruf (Einstellungen → Datenschutz). Sie umfasst Angaben mit Gesundheitsbezug, die auf einem Bon zu sehen sein können (Art. 9 Abs. 2 lit. a DSGVO). Die Übermittlung in die USA und die hierfür maßgeblichen Garantien und Risiken werden vor der Zustimmung erläutert. Ohne Einwilligung liest Bonloo auf deinem Gerät oder du trägst von Hand ein.

Gemeinsames Produktmapping (Stufe 1)

Bonloos Interesse an besserer Produkterkennung, Art. 6 Abs. 1 lit. f DSGVO, vorbehaltlich der dokumentierten Interessenabwägung. Beiträge enthalten Händlerkette, normalisierte Originalzeile (Kleinbuchstaben, ohne Sonderzeichen), Zieltyp/-produkt und Zuordnungsaktion. Preis, Menge, Kaufdatum und Bon-Kennung werden nicht übermittelt. Der Server prüft Konto und Haushalt nur für Hinweis, Widerspruch und Zulässigkeit; diese Kennungen werden nicht an die Mappingfälle angehängt. Eigene Variantenmeldungen sind deaktiviert. Zum Schutz sensibler Angaben prüft der Server jede Meldung vor der Speicherung: Bezeichnungen mit Bezug zu Gesundheit, Babyprodukten, Intimem, Diät oder Nahrungsergänzung sowie erkennbare persönliche Angaben werden verworfen. Grundlage ist eine Ausschlussliste, zum Beispiel für Babynahrung, Windeln, Damenhygiene, Kondome, Tabletten, Nahrungsergänzungsmittel, glutenfreie und laktosefreie Produkte sowie Sportsupplements. Die Liste ist nicht vollständig; eine Bezeichnung ohne einen dieser Begriffe kann trotzdem sensible Bezüge haben. Bei nicht erkannten Zeilen gilt dasselbe Verfahren: Sie werden nur als normalisierte Originalzeile gemeldet und erhalten erst nach Prüfung durch das Bonloo-Team ein Produkt. Die Verarbeitung ist nicht pauschal anonym. Du kannst der gemeinsamen Nutzung jederzeit unter Einstellungen → Datenschutz widersprechen.

Bonloo-Beitrag (gebuchte Einkäufe und Bonzeilen)

Freiwillige, ausdrückliche Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; für Angaben mit Gesundheitsbezug, die den nicht vollständigen Filter passieren, zusätzlich ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Der Umfang, die pseudonymen Schlüssel, die Haushaltsregel und die Filtergrenze werden vor der Wahl erklärt. In einem geteilten Haushalt müssen alle aktiven Mitglieder zugestimmt haben. Ein Widerruf löscht die individuellen Beitragszeilen und aktualisiert die Preisprojektion; bereits hinreichend aggregierte Werte können nicht einzeln herausgerechnet werden.

Ernährungsprofile glutenfrei/laktosefrei

Ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a DSGVO.

Lokale Zuordnungen sowie Scan- und Qualitätsprotokolle

Bereitstellung der von dir genutzten Erkennungsfunktion; die Zuordnung wird lokal bzw. im von dir genutzten App- oder Haushaltsstand verarbeitet. Das Scan-Protokoll (nur Zahlen) und die Zähler der Spiel-Elemente dienen Betrieb, Fehlerbehebung und der Qualität der Erkennung: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO. Du kannst per E-Mail widersprechen.

Einladungs- und Scan-Nachweis, Missbrauchsschutz

Berechtigtes Interesse an einem fairen Einladungsprogramm und am Schutz vor Missbrauch, Art. 6 Abs. 1 lit. f DSGVO. Gespeichert wird nur, was Abschnitt 4 beschreibt.

Einsicht des Bonloo-Teams für Betrieb und Support

Berechtigte Personen können Konto- und Qualitätsdaten, dazu einzelne Bonpositionen, über das protokollierte Dashboard einsehen, soweit das für Betrieb, Support und Fehlerbehebung nötig ist: Art. 6 Abs. 1 lit. b DSGVO (Support für deine genutzten Funktionen) und lit. f (sicherer Betrieb). Die Zugriffe werden mit Rolle, Zeitpunkt, Zweck und Aktion protokolliert.

Gemeinsames Preisnetz

Freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO als Teil des Bonloo-Beitrags v3; mögliche Angaben mit Gesundheitsbezug erfordern zusätzlich Art. 9 Abs. 2 lit. a DSGVO. Zusätzlich muss „Preisbeobachtungen teilen“ eingeschaltet sein und in einem geteilten Haushalt müssen alle aktiven Mitglieder v3 zugestimmt haben. Der Schalter lässt sich jederzeit ausschalten; die pseudonymen Einzelbeobachtungen werden dann gelöscht und die gemeinsamen Marktwerte neu berechnet.

Optionale Website- und App-Nutzungsanalyse

Deine freiwillige Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und, soweit Informationen auf deinem Gerät gespeichert oder daraus ausgelesen werden, § 25 Abs. 1 TDDDG. Die Analyse bleibt aus, bis du sie aktiv erlaubst; du kannst sie jederzeit für die Zukunft widerrufen.

Frühere freiwillige Packungsrückmeldungen

Die damals erteilte gesonderte Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Neue Rückmeldungen können in der App nicht mehr abgegeben werden. Du kannst eine bestehende Einwilligung jederzeit widerrufen; dabei werden die bisherigen Einzelmeldungen gelöscht.

Sicherheit und Fehlerbehebung

Berechtigtes Interesse an einem sicheren Betrieb, Art. 6 Abs. 1 lit. f DSGVO.

Open-Food-Facts-Suche

Automatische Produktsuche, wenn eine Bonzeile nicht erkannt wird, Art. 6 Abs. 1 lit. b DSGVO; die Anfrage läuft über Bonloos Server.

Eine automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt; Vorschläge der App sind unverbindlich.

12. Empfänger und Übermittlungen in Drittländer

• Supabase (Supabase Inc., USA; Speicherort der Daten: EU (Frankfurt am Main, AWS eu-central-1)): Anmeldung, Datenbank, Synchronisierung, Serverfunktionen, Auslieferung der Website-Inhalte und optionale Nutzungsanalyse. Die Website-Inhalte ruft dein Browser beim Seitenaufruf ohne Cookie-Anmeldedaten ab; dabei fällt technisch deine IP-Adresse an. Auftragsverarbeitung nach Art. 28 DSGVO; für Zugriffe aus den USA gelten EU-Standardvertragsklauseln. supabase.com/privacy
• OpenAI (USA): für KI-Anfragen, in die du eingewilligt hast: Bon-Scans und Vorratsfotos (Abschnitte 4 und 5). Auftragsverarbeitung nach dem Data Processing Addendum von OpenAI mit EU-Standardvertragsklauseln. openai.com/policies/privacy-policy
• OpenAI API – gemeinsames Mapping: Nur wenn der betriebliche automatische Prüflauf eingeschaltet ist, gehen bereinigte Alias- und Katalognamen an die OpenAI-API, ohne Händlerkette, Konto- oder Kaufdaten (Abschnitt 6). Die Betreiber-Werkzeuge (Dashboard-Assistent, MCP, ChatGPT-Verbindung, Marketing-Modus) sind nur für das berechtigte Betreiberkonto und nur bei ausdrücklichem Aufruf aktiv; Details im Anhang „Technische Details für Interessierte“.
• Resend (Plus Five Five, Inc., USA): sofern für Bonloo aktiviert, Versand von angeforderten Konto-E-Mails wie E-Mail-Bestätigung, Anmeldung und Zurücksetzen des Passworts. Resend speichert Nachrichteninhalte, Zustellungsprotokolle und Kontodaten in den USA; die gewählte EU-Versandregion steuert den Versandweg, verlegt aber nicht die Speicherung in die EU. Das Auftragsverarbeitungs-DPA gilt laut Resend mit der Anmeldung und enthält EU-Standardvertragsklauseln; Resend nennt zusätzlich seine Teilnahme am EU-US Data Privacy Framework. Auf Free-, Pro- und Scale-Tarifen speichert Resend E-Mails und Protokolle während eines aktiven Kontos 30 Tage, Sicherungskopien sieben Tage. resend.com/security/gdpr · Resend-DPA
• Open Food Facts (Frankreich): automatisch ausgelöst, wenn eine Bonzeile nicht erkannt wird; es geht nur ein einzelner Suchbegriff über Bonloos Server, Abschnitt 9.
• Cloudflare (Cloudflare Inc., USA): Auslieferung der Website und Web-App; verarbeitet technisch notwendige Verbindungsdaten. EU-Standardvertragsklauseln / EU-US Data Privacy Framework. cloudflare.com/privacypolicy
• Apple: Vertrieb der iOS-App über den App Store nach Apples eigenen Bedingungen; wenn du „Mit Apple fortfahren“ wählst, außerdem die Anmeldung; bei einem Kauf von Bonloo Plus die Zahlung über deinen Apple-Account (Apple Distribution International Ltd., Irland). Bonloo erhält von Apple nur die Transaktionskennung, das Produkt und die Laufzeit. apple.com/de/legal/privacy
• Google (Google Ireland Ltd.): Sobald die Android-App über Google Play veröffentlicht ist, erfolgt ihr Vertrieb nach Googles eigenen Bedingungen (dabei verarbeitet Google Daten zu Installation und Updates). Außerdem nur wenn du „Mit Google fortfahren“ wählst: Anmeldung, wobei Google erfährt, dass du dich bei Bonloo anmeldest. EU-US Data Privacy Framework. policies.google.com/privacy
• Mitglieder deines Haushalts: die dort geteilten Inhalte, Abschnitt 14.

13. Speicherdauer

• Lokale App-Daten: bis du sie in der App bzw. im Browser löschst oder die App entfernst. Der Service-Worker-Cache wird beim App-Update erneuert; der Produktsuch-Zwischenspeicher im Arbeitsspeicher endet beim Neuladen oder Schließen der App.
• Konto und persönliche synchronisierte Daten: bis zur Löschung des Kontos. Persönliche Konto-, Geräte-, Einwilligungs- und Exportdaten sowie Bonbilder werden gelöscht. Bleibt ein geteilter Haushalt bestehen, bleiben dessen Einkaufs-, Vorrats- und Finanzverläufe für die anderen Mitglieder erhalten; persönliche Verknüpfungen, Anzeigenamen, Einladungsadressen und Nutzerkennungen werden entfernt. Die Kontokopie eines allein genutzten Haushalts wird gelöscht.
• Freundeinladungen und Creator-Provisionen: Einlösungen, Konto-Zuordnungen und Plus-Gutschriften werden mit den betroffenen Bonloo-Konten geführt und bei Kontolöschung nach den Kontolöschregeln entfernt. Creator-Abrechnungs- und Auszahlungsbelege, die außerhalb der App erstellt werden, können eigenen gesetzlichen Aufbewahrungsfristen unterliegen.
• Gemeinsames Mapping: Automatische Meldungen gehen in aggregierte Fallzähler ein; nur bestätigte oder korrigierte Zuordnungen nutzen zusätzlich eine getrennte Evidenz-Queue mit einem monatlich wechselnden, aus dem Haushalt abgeleiteten Zählwert, der ohne Konto- oder Haushalts-ID auskommt. Die Zählwerte werden höchstens 12 Monate gespeichert (Details im Anhang). Queue-Nachrichten werden regulär verarbeitet oder nach 90 Tagen durch einen stündlichen Lauf gelöscht; bei Ausfall kann sich die Bereinigung verzögern. Vorübergehende Prüffälle werden spätestens nach 90 Tagen gelöscht. Freigegebene Produkt-Aliase und Bestätigungs-/Korrekturzähler enthalten keine Konto- oder Haushaltskennung, keinen Preis, keine Menge und kein Kaufdatum. Aliase sind nötig, damit die Erkennung für alle funktioniert. Für sie ist derzeit keine automatische Löschfrist festgelegt. Ein Widerspruch stoppt neue Meldungen dieses Kontos, entfernt aber keine angenommenen Beiträge aus aggregierten Fallzählern. Sie können mit späteren Meldungen noch die Voraussetzungen für externe KI-Prüfungen erreichen und lassen sich nicht einzeln zurücknehmen. Bereits aggregierte oder freigegebene Daten lassen sich nicht individuell entfernen und werden nicht pauschal als anonym bezeichnet.
• Bonloo-Beitrag und Preisnetz: Die pseudonymen Projektionen bestehen, solange die erforderliche v3-Einwilligung aller aktiven Haushaltsmitglieder gilt. Ein Widerruf oder eine Kauf-Löschung entfernt die zugehörigen Projektionen. Wird ein Mitglied entfernt, erstellt Bonloo die gemeinsame Projektion für die verbleibenden Mitglieder neu, wenn der lokale Beitragsschalter aktiv ist und alle verbleibenden aktiven Mitglieder zugestimmt haben; sonst löscht Bonloo sie. Der gemeinsame Einkaufsstand unterscheidet nicht, welches Mitglied einen Einkauf eingebucht hat. Deshalb kann ein einzelnes Mitglied nach dem Austritt nicht aus bereits gemeinsam gespeicherten Einkäufen herausgelöst werden. Bereits aggregierte Marktwerte lassen sich nicht einzeln zurückrechnen. Bon-Zeilen nutzen einen monatlich wechselnden Schlüssel; Preisbeobachtungen zusätzlich einen stabilen Haushalts-Pseudonymwert.
• Mapping-Vorgänge bei OpenAI API und MCP: Unklare Mapping-Fälle warten zunächst höchstens 14 Tage; bei Wiederholung gelangen sie früher in die menschliche Prüfung. Menschliche Prüffälle werden spätestens nach 90 Tagen gelöscht. An die OpenAI API gehen nur bereinigte Alias- und Katalognamen. Die Anfrage verwendet store: false. OpenAI kann API-Inhalte in den standardmäßigen Abuse-Monitoring-Logs grundsätzlich bis zu 30 Tage speichern; längere Aufbewahrung kann gesetzlich oder zum Schutz vor Missbrauch erforderlich sein. store: false schaltet diese Standardprotokolle nicht automatisch aus. Beim ausdrücklichen MCP-Aufruf können technische Fall- und Produktreferenzen zusätzlich im ChatGPT-Gespräch sichtbar werden und eine Zuordnung der Werkzeugaufrufe zum Mapping-Fall ermöglichen. Der Inhalt kann zusätzlich in einem ChatGPT-Gespräch verarbeitet und gespeichert werden; maßgeblich sind die Einstellungen und Aufbewahrungsbedingungen des verwendeten ChatGPT-Kontos.
• KI-Kostenmetadaten (Funktionsbereich, Modell, Tokenzahlen und Kostenschätzung; keine Fotos, Prompts, Antworten oder Nutzer-ID): 12 Monate. Gespeicherte Kennungen sind zufällig und nicht mit der Anfragekennung verknüpft; Zeitpunkte sind auf den Tag gerundet. Danach werden die Einträge automatisch gelöscht.
• Anmelde-E-Mails bei Resend: sofern Resend für den E-Mail-Versand aktiviert ist, speichert der Anbieter E-Mails und Zustellungsprotokolle bei aktivem Konto 30 Tage; Sicherungskopien bleiben sieben Tage erhalten. Nach Beendigung des Resend-Kontos werden verbliebene Kundendaten laut Anbieter innerhalb von 90 Tagen gelöscht.
• Website- und App-Nutzungsanalyse: Gespeichert werden grobe Wochenaggregate ohne Nutzer-, Haushalts-, Geräte-, Sitzungs-, Beitrags-, HMAC- oder Quotenkennung. Wochenwerte werden nach 90 Tagen gelöscht. Der Widerruf stoppt künftige Beiträge; bereits addierte Summen lassen sich nicht einzeln zurückrechnen. Die Website-Zustimmung wird durch einen getrennten zufälligen Browser-Schlüssel nachweisbar gemacht; dieser Schlüssel ist nicht mit den Nutzungswerten verknüpft. Die App-Einwilligung wird als Einwilligungsnachweis im Konto gespeichert.
• Dashboard-Zugriffsprotokoll: Zeitpunkt, Zweck, Aktion und angefragter Datenbereich; keine Bon-, Produkt-, Fall- oder Antwortinhalte. Die Metadaten werden spätestens nach 365 Tagen gelöscht (Details im Anhang).
• Frühere freiwillige Packungsrückmeldungen: Einzelmeldungen werden spätestens 18 Monate nach Erfassung gelöscht. Widerruf und Kontolöschung entfernen sie sofort. Das Dashboard berechnet Prüfvorschläge aus den noch vorhandenen Meldungen; mit deren Löschung verschwinden auch die betreffenden Vorschläge.
• Server- und Sicherheitsprotokolle der Dienstleister: nach deren Fristen, üblicherweise wenige Tage bis Wochen.

14. Haushalte und gemeinsame Inhalte

Wenn du einem Haushalt beitrittst, sehen dessen Mitglieder die dort geteilten Listen, Vorräte und Einkäufe sowie deinen Anzeigenamen. Teile einen Haushalt nur mit Menschen, denen du diese Einblicke geben möchtest. Du kannst einen Haushalt jederzeit verlassen.

Für die gemeinsame Einkaufsliste eines Couple- oder WG-Haushalts speichern wir je Eintrag den Warennamen, eine optionale Menge, wer ihn eingetragen und wer ihn abgehakt hat sowie die Zeitpunkte, keine Preise, keine Bons. Alle Mitglieder sehen dieselbe Liste. Abgehakte Einträge werden nach 14 Tagen gelöscht, die ganze Liste mit dem Haushalt.

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerruf und Widerspruch: Deine Zustimmung zur Nutzungsanalyse widerrufst du in der App unter Einstellungen → Datenschutz & Rechtliches oder auf der Website über „Cookie- & Speichereinstellungen“. Der Widerruf stoppt künftige Beiträge. Bereits in Wochenwerte addierte Zähler können nicht einzeln herausgerechnet werden; alle Wochenwerte werden spätestens nach 90 Tagen gelöscht. Der Verarbeitung gemeinsamer Produktzuordnungen aus berechtigtem Interesse sowie den Qualitätsprotokollen kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Deine Einwilligung zum Bonloo-Beitrag widerrufst du unter Einstellungen → Datenschutz; dadurch enden auch die Preisbeobachtungen und die v3-Daten werden gelöscht. Das Teilen im Preisnetz kannst du zusätzlich unter Mehr → Preisnetz ausschalten. Für andere Anliegen genügt eine E-Mail an [email protected].

Nachweise deiner Einwilligungen: Für die Nutzungsanalyse und frühere Packungsrückmeldungen speichert Bonloo in deinem Konto je Entscheidung die Art, die Fassung des Hinweises, den Zeitpunkt und ob du zugestimmt oder widerrufen hast; sie sind in deinem Datenexport enthalten und werden mit dem Konto gelöscht. Für die KI-Erkennung (Bon und Vorrat), den Bonloo-Beitrag und die Profile glutenfrei/laktosefrei steht der Nachweis (Art, Zeitpunkt, Textfassung, eine Kurzkennung deines Kontos ohne Namen) im App-Stand und wird wie die übrigen App-Daten synchronisiert. In einem geteilten Haushalt bleibt dieser App-Stand für die anderen Mitglieder erhalten, bis der Haushalt gelöscht ist; die automatische Bon-KI gilt nur für das Konto, das sie erteilt hat. Ein Widerruf stoppt künftige Verarbeitungen sofort auf diesem Gerät. Schlägt das Speichern einer Einwilligung oder eines Widerrufs fehl, zeigt die App das an: eine Einwilligung gilt dann nicht als erteilt, und es wird nichts gesendet.

Dein Konto löschst du in der App unter Mehr → Konto → „Konto und Daten löschen“. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Land, in dem du lebst. Für uns zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

16. Diese Website

Beim Aufruf von bonloo.app verarbeitet Cloudflare technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, abgerufene Adresse, Browserkennung), um die Seite auszuliefern und vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Bonloo selbst setzt keine Cookies für Anmeldung, Analyse oder Werbung und bindet keine externen Schriften oder Tracker ein. Der Hosting-Aufruf der aktuellen Website-Konfiguration setzt kein Bonloo-Cookie. Für Website-Inhalte und optionale Analyse ruft Bonloo Supabase auf; diese Browser-Anfragen verwenden ausdrücklich keine Cookie-Anmeldedaten. Die Website-Inhalte werden auch vor deiner Entscheidung über die Analyse geladen; dabei fällt technisch deine IP-Adresse bei Supabase an. Gezählt wird erst nach deiner Zustimmung. Die Website-Inhalte werden für die Anzeige geladen, aber nicht dauerhaft im Browser gespeichert. Die notwendige Hosting- und Sicherheitsverarbeitung durch Cloudflare bleibt davon unberührt.

17. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Datenflüsse oder Rechtslage ändern. Wesentliche Änderungen erklären wir zusätzlich in der App.