Diese Seite ergänzt unsere Datenschutzerklärung um technische Einzelheiten: wie unsere Besucherzählung funktioniert, welche Ereignisse die App mit deiner Einwilligung sendet, in welcher Reihenfolge wir bei einer Kontolöschung vorgehen und Ähnliches. Beide Seiten zusammen bilden unsere Datenschutzinformation; diese Seite ist die ausführlichere. Die Nummerierung entspricht der früheren, ausführlichen Fassung der Datenschutzerklärung.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Florian Sappelt-Ziller
Drosselstr. 2a
85777 Fahrenzhausen
Deutschland

Kontakt
E-Mail: [email protected]

2. Erhebung und Speicherung personenbezogener Daten

Server-Logfiles

Beim Aufruf dieser Website werden durch den Hosting-Anbieter automatisch Informationen in sogenannten Server-Logfiles gespeichert, die dein Browser automatisch übermittelt:

  • Browsertyp und -version
  • Verwendetes Betriebssystem
  • Referrer-URL (zuvor besuchte Seite)
  • Hostname des zugreifenden Rechners
  • Uhrzeit der Serveranfrage
  • IP-Adresse

Die IP-Adresse ist ein personenbezogenes Datum. Wir nutzen diese Daten nicht, um Besucher zu erkennen, und führen sie nicht mit anderen Datenquellen zusammen; einer bestimmten Person ließe sich eine IP-Adresse nur mit Zusatzwissen zuordnen, etwa einer Auskunft deines Internetanbieters, das uns nicht vorliegt. In den Sicherheitsauswertungen von Cloudflare bleiben Anfragen mit IP-Adresse bis zu 31 Tage abrufbar, teils als Stichprobe.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website).

3. Cookies und lokaler Speicher

Diese Website verwendet keine Werbe- oder Marketing-Cookies. Der externe Analyse-Dienst Cloudflare Web Analytics wird nur nach deiner Einwilligung über den Cookie-Dialog aktiviert. Unsere eigene Reichweitenmessung setzt keine Cookies und nutzt keinen Browserspeicher; ihr Messskript track.js läuft wie die übrigen Skripte der Website in deinem Browser (siehe Sektion 5c). Für die serverseitige Auswertung mit PostHog kommt in deinem Browser kein weiteres Skript hinzu (siehe Sektion 5f). Nur wenn du die Messung in Sektion 5c ausdrücklich abschaltest, speichert dein Browser dafür das Cookie kw_optout (siehe unten). Technisch notwendig sind folgende Speichermechanismen:

Cookies (vom Hosting-Anbieter Cloudflare gesetzt):

  • __cflb, cf_clearance — Sicherheit und Lastverteilung, kein Tracking-Zweck

Cookie des Cookie-Dialogs:

  • cc_cookie — speichert deine Cookie-Einwilligung (siehe Sektion 5), Laufzeit 12 Monate

Lokaler Browser-Speicher (localStorage/sessionStorage):

  • kw-theme — speichert deine Auswahl Hell-/Dunkelmodus
  • kw-chat-... — Verlauf des Barista-Chats während deiner Session

Diese Speichermechanismen sind für den Betrieb der Website unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TTDSG/TDDDG und benötigen daher keine Einwilligung.

Cookie nur auf deinen Wunsch:

  • kw_optout — wird erst gesetzt, wenn du in Sektion 5c unter „Dein Widerspruchsrecht" auf „Messung in diesem Browser abschalten" klickst. Zweck: Dein Widerspruch gegen unsere Reichweitenmessung gilt dann in diesem Browser; dein Browser sendet das Cookie bei Anfragen an unsere Domain mit, und unser Server erkennt daran, dass er nichts messen soll. Inhalt: nur der Wert 1, keine Kennung. Laufzeit: bis zu zwei Jahre; manche Browser verkürzen das von sich aus (Chrome auf rund 13 Monate, Safari auf sieben Tage). Mit „Messung in diesem Browser wieder einschalten" oder wenn du die Cookies deines Browsers löschst, ist es entfernt. Damit der Schalter anzeigen kann, ob dein Widerspruch in diesem Browser gespeichert ist, prüft ein kleines Skript nur auf der Datenschutzseite beim Laden, ob dieses Cookie gesetzt ist; das Ergebnis bleibt in deinem Browser und wird nicht gesendet.

Das Cookie kw_optout setzen wir nur, weil du es mit deinem Klick ausdrücklich anforderst. Nach unserer Einschätzung ist es unbedingt erforderlich, um diesen von dir gewünschten Dienst bereitzustellen, nämlich deinen Widerspruch in diesem Browser umzusetzen (§ 25 Abs. 2 Nr. 2 TDDDG), und braucht daher keine Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Funktionsbereitstellung; beim Cookie kw_optout daran, deinen Widerspruch zuverlässig umzusetzen).

4. Cloudflare – Content Delivery Network (CDN)

Diese Website wird über Cloudflare gehostet. Cloudflare fungiert als Auftragsverarbeiter im Sinne der DSGVO und verarbeitet deine IP-Adresse sowie andere technische Daten (Browser-Informationen, Anfrage-Metadaten) zwecks:

  • Bereitstellung der Website und Inhalte
  • DDoS-Schutz und Sicherheit
  • Performance-Optimierung und Content-Caching

Cloudflare ist ein US-amerikanisches Unternehmen. Datenübermittlungen in die USA erfolgen auf Grundlage der Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO. Cloudflare hat sich dem EU-US Data Privacy Framework angeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Website-Verfügbarkeit und Sicherheit).

Mehr Informationen: Cloudflare Privacy Policy

5. Reichweitenanalyse — Cloudflare Web Analytics

Diese Website verwendet Cloudflare Web Analytics, um anonyme Statistiken über die Nutzung zu sammeln. Cloudflare Web Analytics arbeitet cookielos und verzichtet bewusst auf personenbezogene Identifikatoren wie Fingerprinting oder Cross-Site-Tracking.

Was erfasst wird:

  • Aufgerufene Seiten (URL)
  • Verweisende Seite (Referrer)
  • Browser-Typ und -Version
  • Geräte-Kategorie (Desktop/Mobile)
  • Herkunftsland (auf Länderebene, keine genauere Lokalisierung)
  • Core Web Vitals (Performance-Messwerte wie Ladezeit)

Was NICHT erfasst wird: Keine IP-Adressen (nur deren Land-Zuordnung), keine User-Agents zum Fingerprinting, keine Cookies, keine Werbung, keine Cross-Site-Profile.

Datenfluss und Speicherdauer: Beim Aufruf einer Seite wird (nach deiner Einwilligung) ein kleines JavaScript-Snippet von static.cloudflareinsights.com geladen, das die oben genannten Daten an cloudflareinsights.com übermittelt. Cloudflare ist ein US-amerikanisches Unternehmen; Datenübermittlungen erfolgen auf Grundlage des EU-US Data Privacy Framework (Cloudflare ist zertifiziert) sowie der Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO. Die aggregierten Daten werden bei Cloudflare bis zu 6 Monate gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung) i.V.m. § 25 Abs. 1 TTDSG/TDDDG.

Einwilligung und Widerruf: Beim ersten Besuch fragen wir dich per Cookie-Banner um deine Einwilligung. Du kannst diese jederzeit widerrufen, indem du im Footer auf „Cookie-Einstellungen" klickst und die Auswahl änderst. Der Widerruf wirkt für die Zukunft.

Mehr Informationen: Cloudflare Web Analytics Privacy · Cloudflare Privacy Policy

Außer Cloudflare Web Analytics (nur mit Einwilligung) und der Auswertung unserer einwilligungsfreien Reichweitenmessung mit PostHog als Auftragsverarbeiter (serverseitig, Sektion 5f) werden keine weiteren Analyse-Tools (z. B. Google Analytics), keine eingebetteten Social-Media-Inhalte und keine Werbe- oder Tracking-Dienste eingesetzt.

Du kannst deine Einwilligung jederzeit anpassen:

  1. Klicke im Footer dieser Seite auf „Cookie-Einstellungen".
  2. Im erscheinenden Dialog kannst du die Kategorie „Analyse" aktivieren oder deaktivieren.
  3. Speichere deine Auswahl. Die neue Einstellung wirkt sofort.

Alternativ kannst du den lokalen Browser-Speicher leeren (Cookie-Verlauf löschen). Beim nächsten Besuch wirst du erneut nach deiner Einwilligung gefragt. Hast du die Reichweitenmessung in Sektion 5c abgeschaltet, wird dabei auch das Cookie kw_optout gelöscht und die Messung läuft in diesem Browser wieder.

Die einwilligungsfreie Reichweitenmessung (Sektion 5c) und ihre Auswertung mit PostHog (Sektion 5f) hängen nicht von deiner Auswahl im Cookie-Dialog ab. Sie setzen keine Cookies und nutzen keinen Browserspeicher; warum wir dafür keine Einwilligung einholen, steht in Sektion 5c. Wie du der gesamten Messung widersprechen kannst, auch mit einem Schalter direkt auf dieser Seite, steht in Sektion 5c unter „Dein Widerspruchsrecht".

5b. Anmeldung zur App-Beta („Brühmeister")

Bis zur regulären Veröffentlichung unserer App „Brühmeister" im App Store und bei Google Play (Oktober 2026) konntest du dich auf unserer Website für die geschlossene Testphase (Closed Beta) anmelden. Neue Anmeldungen sind nicht mehr möglich. Für bereits erfolgte Anmeldungen gilt Folgendes:

Welche Daten wir erheben:

  • E-Mail-Adresse (Pflichtfeld)
  • Vorname (Pflichtfeld)
  • gewählte Plattform (iOS oder Android)
  • Datum, Uhrzeit und IP-Adresse von Anmeldung und Bestätigung (zum Nachweis der Einwilligung)

Zweck: Wir nutzen diese Daten ausschließlich für die Kommunikation im Rahmen der Beta (z. B. Einladung und Rückfragen zum Test) sowie für eine einmalige Benachrichtigung, sobald die App final veröffentlicht wird. Eine Verwendung für Werbezwecke oder eine Weitergabe an Dritte zu Werbezwecken findet nicht statt.

Double-Opt-In-Verfahren: Nach deiner Anmeldung senden wir dir eine E-Mail mit einem Bestätigungslink. Erst wenn du diesen Link anklickst, nehmen wir dich in den Verteiler auf. So stellen wir sicher, dass die Anmeldung tatsächlich von dir stammt. Bestätigst du nicht, wird die Anmeldung nach kurzer Zeit verworfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung). Die Protokollierung von Anmelde- und Bestätigungszeitpunkt erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis der ordnungsgemäßen Einwilligung).

Versanddienstleister Brevo: Für die Verwaltung der Verteilerliste und den E-Mail-Versand nutzen wir den Dienst Brevo (Brevo GmbH, Köln, Deutschland; Muttergesellschaft Brevo SAS, Paris, Frankreich). Brevo verarbeitet die oben genannten Daten als Auftragsverarbeiter ausschließlich nach unseren Weisungen; ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) wurde geschlossen. Die Daten werden auf Servern innerhalb der Europäischen Union verarbeitet. Mehr Informationen: Brevo Datenschutz.

Speicherdauer: Wir speichern deine Daten so lange, bis du dich vom Beta-Verteiler abmeldest bzw. deine Einwilligung widerrufst.

Widerruf und Abmeldung: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Nutze dazu den Abmeldelink am Ende jeder E-Mail oder schreib uns formlos an [email protected]. Nach dem Widerruf entfernen wir deine Daten aus dem Beta-Verteiler.

5c. Einwilligungsfreie Reichweitenmessung (First-Party)

Unabhängig vom Cookie-Dialog misst kaffeewissen.net die Nutzung der Website mit einem eigenen, cookielosen Verfahren über den Endpoint /api/track auf unserer eigenen Domain (Cloudflare Pages Function). Dafür lädt jede Seite unser kleines Messskript track.js, ebenfalls von unserer eigenen Domain. Es läuft in deinem Browser, liest dort die Adresse der aufgerufenen Seite und die verweisende Seite, stellt fest, ob App-Hinweise in deinem sichtbaren Bildschirmbereich erscheinen, und bemerkt, wenn du App-Hinweise oder Rösterei-Links anklickst oder ein Tool benutzt (ohne den Inhalt deiner Eingaben). Diese Angaben sendet es an /api/track. Das Skript setzt keine Cookies, nutzt weder localStorage noch sessionStorage oder andere Speicher deines Browsers, legt keine Kennung auf deinem Gerät ab und liest keine Geräteeigenschaften wie Bildschirmauflösung oder installierte Schriften aus. Eine Einwilligung holen wir für diese Messung nicht ein, weil sie nach unserer Auffassung hier nicht erforderlich ist. In unserer Datenbank legen wir weder deine IP-Adresse noch deine Browserkennung ab, sondern nur eine täglich wechselnde, pseudonyme Prüfsumme (siehe unten). Die meisten Ereignisse dieser Messung leitet unser Server zusätzlich in bereinigter Form an den Analysedienst PostHog weiter; dein Browser sendet dabei weiterhin nur an /api/track. Diese Weiterleitung hat einen eigenen Empfänger und eine eigene Speicherdauer und ist in Sektion 5f beschrieben.

Widerspruch gegen die Messung

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit der Reichweitenmessung nach dieser Sektion zu widersprechen, einschließlich ihrer Auswertung mit PostHog (Sektion 5f). Dein Widerspruch gilt für die gesamte Messung. Am einfachsten schaltest du die Messung hier ab:

Den Schalter „Messung in diesem Browser abschalten“ findest du in der Datenschutzerklärung.

Insgesamt hast du drei Wege:

  • Mit dem Schalter oben: Erst wenn du auf „Messung in diesem Browser abschalten" klickst, speichert dein Browser ein kleines Cookie namens kw_optout mit dem Inhalt 1 (Laufzeit bis zu zwei Jahre, keine Kennung, siehe Sektion 3). Dein Browser sendet es bei Anfragen an unsere Domain mit. Daran erkennt unser Server deinen Widerspruch und behandelt solche Anfragen genauso wie ein Datenschutzsignal (nächster Punkt): Er speichert nichts in unserer Datenbank, leitet nichts an PostHog weiter und verwendet deine IP-Adresse und Browserkennung nicht für die Messung. Der Schalter gilt nur für diesen Browser auf diesem Gerät; in anderen Browsern oder auf anderen Geräten musst du ihn dort ebenfalls betätigen. Löschst du die Cookies deines Browsers oder läuft das Cookie ab (nach zwei Jahren; manche Browser löschen es früher, Safari zum Beispiel nach sieben Tagen), ist dein Widerspruch für diesen Browser aufgehoben und die Messung läuft wieder; der Schalter zeigt dann an, dass in diesem Browser kein Widerspruch gespeichert ist, und du kannst ihn erneut betätigen. Sendet dein Browser ein Datenschutzsignal (nächster Punkt), misst unser Server unabhängig vom Schalter nichts; der Schalter kann das nicht erkennen und zeigt nur, ob das Cookie gespeichert ist. Mit „Messung in diesem Browser wieder einschalten" entfernst du das Cookie selbst. Solange du den Schalter nicht benutzt, wird dafür nichts in deinem Browser gespeichert.
  • Über deinen Browser: Schalte in den Datenschutz-Einstellungen deines Browsers Global Privacy Control (GPC) oder Do Not Track (DNT) ein. GPC ist zum Beispiel in Firefox, Brave und DuckDuckGo eingebaut; für andere Browser gibt es Erweiterungen wie Privacy Badger. Dein Browser sendet das Signal dann bei jeder Anfrage von sich aus als Kennzeichen mit (Sec-GPC: 1 bzw. DNT: 1). Wir behandeln es als Widerspruch, ohne dass du Gründe nennen musst: Zu solchen Anfragen speichert unser Server nichts in unserer Datenbank, leitet nichts an PostHog weiter und verwendet deine IP-Adresse und Browserkennung nicht für die Messung. Das Signal wertet allein unser Server aus; das Messskript liest dafür nichts auf deinem Gerät aus.
  • Per E-Mail: Du kannst uns deinen Widerspruch auch formlos an [email protected] schicken. Weil die Messung dich bewusst nicht wiedererkennt, können wir eine E-Mail keinem Browser zuordnen und deine künftigen Seitenaufrufe deshalb nicht von uns aus von der Messung ausnehmen. Wir bestätigen dir den Eingang und erklären dir die beiden Wege, mit denen du die Messung in deinem Browser selbst abschaltest (Schalter oder Datenschutzsignal wie oben). Bereits gespeicherte Einträge löschen wir, soweit wir sie anhand deiner Angaben finden können (siehe Sektion 5f, „Deine Rechte").

Unabhängig davon kannst du Anfragen an kaffeewissen.net/api/track mit einem Inhaltsblocker sperren. Die Website bleibt in jedem Fall vollständig nutzbar.

Einzelheiten der Messung

So funktioniert die Besucherzählung ohne dauerhafte Wiedererkennung: Unser Messverfahren verarbeitet deine IP-Adresse und Browser-Kennung beim Empfang nur flüchtig und speichert sie nicht – weder in unserer Datenbank noch bei PostHog noch in Protokollen unserer Server-Funktion. Davon unabhängig verarbeitet unser Hosting-Anbieter Cloudflare Verbindungsdaten zur Auslieferung und Absicherung der Website (Abschnitte 2 und 4). Unser Server verrechnet IP-Adresse und Browser-Kennung zusammen mit dem aktuellen Datum (UTC) und einem geheimen Tagesschlüssel zu einer Prüfsumme (Hash). Diesen Tagesschlüssel erzeugt unser Server für jeden Tag (UTC) neu als Zufallswert; er wird nur bei unserem Hosting-Anbieter Cloudflare gespeichert (Schlüssel-Wert-Speicher, Abschnitt 4), und zwar mit einer Ablaufzeit: Er läuft kurz nach Ende des Tages (00:05 Uhr UTC) ab und wird dann nach Angaben von Cloudflare gelöscht; Kopien im Zwischenspeicher von Cloudflare können noch kurze Zeit bestehen. Solange der Schlüssel existiert, also am Tag deines Besuchs, wäre es technisch möglich, die Prüfsumme einer bereits bekannten Kombination aus IP-Adresse und Browserkennung zuzuordnen. Das tun wir nicht, und wir behandeln die Prüfsumme deshalb als Pseudonym (Art. 4 Nr. 5 DSGVO). Nach dem Löschen des Schlüssels lässt sich die Prüfsumme auch von uns weder auf eine IP-Adresse oder Browserkennung zurückrechnen noch der Prüfsumme eines anderen Tages zuordnen. Für Einträge in unserer Datenbank aus der Zeit vor unserer Umstellung auf Tagesschlüssel am 18. Oktober 2026 gilt das erst, wenn wir den damals verwendeten festen Schlüssel gelöscht haben. Innerhalb eines Tages bleiben Ereignisse mit derselben Prüfsumme miteinander verbunden (z. B. zwei Seitenaufrufe aus demselben Browser); das brauchen wir, um Besucher und nicht nur Aufrufe zu zählen. Wir nehmen keine Rückrechnung, keine tagesübergreifende Zuordnung und keine Profilbildung vor. Steht der Tagesschlüssel ausnahmsweise nicht zur Verfügung, speichern wir das Ereignis ohne Prüfsumme; einen festen Ersatzschlüssel verwenden wir dafür nicht.

Erfasst werden ausschließlich:

  • aufgerufene Seite (Pfad, ohne Parameter) und Website-Bereich
  • verweisende Domain (nur die Domain, z. B. google.com — keine vollständige URL)
  • Herkunftsland (auf Länderebene)
  • grobe Geräte-Kategorien (Browser-Familie, Betriebssystem-Familie, Desktop/Mobil/Tablet)
  • Produkt-Ereignisse ohne Inhalte: Sichtbarkeit/Klick von App-Hinweisen, Nutzung interaktiver Tools, Klicks auf Website-, Instagram- oder Shop-Links von Röstereien (mit der öffentlichen Katalog-Kennung der Rösterei bzw. Kaffeesorte)

Nicht erfasst: keine Namen, keine E-Mail-Adressen, keine gespeicherte IP-Adresse, keine vollständigen Referrer-URLs, keine Roh-Browserkennung, keine Formular- oder Chat-Inhalte, keine Werbe-IDs, kein geräte- oder seitenübergreifendes Tracking.

Speicherung und Löschung: Die Ereignisdaten werden in einer Supabase-Datenbank in der EU (Frankfurt) gespeichert (Anbieter Supabase Pte. Ltd., Singapur; eigenes, von der Datenbank der App getrenntes Projekt; Supabase verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage seines Auftragsverarbeitungsvertrags; soweit Supabase oder seine Unterauftragsverarbeiter die Daten von Standorten außerhalb der EU aus verarbeiten, gelten die EU-Standardvertragsklauseln) und nach 90 Tagen automatisch gelöscht (ein täglicher Löschlauf entfernt alle älteren Einträge). Dauerhaft verbleiben nur aggregierte Tages-Statistiken ohne jeden Personenbezug (z. B. „Seite X hatte an Tag Y so viele Aufrufe"). Für die an PostHog weitergeleiteten Ereignisse gilt eine eigene, längere Speicherdauer (Sektion 5f).

Empfänger: Cloudflare als Hosting-Anbieter (Abschnitt 4, einschließlich des Speichers für die Tagesschlüssel), Supabase als Datenbank-Dienstleister und PostHog für die Auswertung (Sektion 5f), jeweils als Auftragsverarbeiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung zur Verbesserung der Inhalte. Da unser Messverfahren weder IP-Adresse noch Browserkennung speichert, die Prüfsumme täglich wechselt, der Tagesschlüssel kurz nach Tagesende abläuft, keine Profilbildung stattfindet und du die gesamte Messung mit dem Schalter auf dieser Seite, einem Datenschutzsignal deines Browsers oder einem Inhaltsblocker abschalten kannst, überwiegen deine Interessen nach unserer Abwägung nicht. Wie du widersprechen kannst, steht oben unter „Dein Widerspruchsrecht".

5d. Barista-Chat (KI-Assistent)

Unten rechts auf jeder Seite findest du den Barista-Chat — einen KI-Assistenten, der Fragen rund um Espresso, Mahlgrad, Extraktion und Fehleranalyse beantwortet. Du sprichst dort nicht mit einem Menschen, sondern mit einem Sprachmodell; seine Antworten können fehlerhaft sein und ersetzen keine fachliche Beratung. Die Nutzung ist vollständig freiwillig — ohne Chat werden keine der hier beschriebenen Daten verarbeitet.

Was verarbeitet wird: Deine eingegebene Nachricht sowie der Pfad der Seite, von der aus du fragst (z. B. /zubereitung/espresso/mahlgrad-einstellen/). Eine Anmeldung ist nicht nötig, wir speichern kein Nutzerkonto und keine IP-Adresse zum Chat.

Empfänger: Deine Nachricht wird über unseren Endpoint /api/chat (Cloudflare Pages Function) an Mistral AI (Mistral AI SAS, Paris, Frankreich) übermittelt und dort von einem Sprachmodell beantwortet. Die Verarbeitung erfolgt auf Servern innerhalb der Europäischen Union — eine Übermittlung in ein Drittland findet nicht statt. Mistral verarbeitet die Anfrage als Auftragsverarbeiter ausschließlich nach unseren Weisungen; die Auftragsverarbeitung ist durch das Data Processing Addendum von Mistral AI (Art. 28 DSGVO) geregelt. Eine Nutzung deiner Eingaben zum Training von KI-Modellen findet nicht statt — wir haben die entsprechende Datennutzung in den Plattform-Einstellungen deaktiviert. Es ist derselbe Anbieter, der auch die Texterkennung des Verpackungs-Scans in der App übernimmt (Abschnitte 6.5 und 6.11).

Bitte trotzdem sparsam bleiben: Gib im Chat keine Namen, Adressen, Gesundheits- oder Zahlungsdaten ein — weder deine eigenen noch die Dritter. Der Chat ist für Kaffee-Fachfragen gedacht und braucht keinerlei persönliche Angaben.

Speicherung: Wir speichern die Chat-Inhalte nicht auf unseren Servern. Der Gesprächsverlauf liegt ausschließlich im sessionStorage deines Browsers (kw-chat-…, siehe Sektion 3) und wird spätestens beim Schließen des Browser-Tabs gelöscht. Bei Mistral werden Anfragen nach Anbieterangaben nur kurzzeitig zur Missbrauchsprävention vorgehalten. Unsere Reichweitenmessung erfasst keine Chat-Inhalte (siehe Sektionen 5c und 5f).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Beantwortung der von dir aktiv gestellten Frage) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem hilfreichen Auskunftsangebot). Die Nutzung ist freiwillig — alle Inhalte der Website stehen dir auch ohne den Chat vollständig zur Verfügung.

Mehr Informationen: Mistral AI Privacy Policy.

5e. Einsatz von KI

Die Hinweise zum Einsatz künstlicher Intelligenz stehen jetzt auf der Seite Einsatz von KI.

5f. Auswertung der Reichweitenmessung mit PostHog (serverseitig, ohne Einwilligung)

Die meisten Ereignisse unserer einwilligungsfreien Reichweitenmessung (Sektion 5c) werten wir zusätzlich mit dem Analysedienst PostHog aus. Dein Browser hat dabei keinen Kontakt zu PostHog: Er sendet wie bisher nur an /api/track auf unserer eigenen Domain. Erst unser Server (Cloudflare Pages Function) leitet die erlaubten Ereignisse in bereinigter Form an PostHog weiter. Auf unserer Website wird kein Skript von PostHog geladen, es werden keine Cookies gesetzt und kein Browserspeicher genutzt, und für die Weiterleitung wird in deinem Browser nichts zusätzlich ausgelesen. Die eigene Speicherung aus Sektion 5c läuft unverändert weiter.

Anbieter und Auftragsverarbeitung: PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, USA. PostHog verarbeitet die Daten als Auftragsverarbeiter ausschließlich nach unseren Weisungen; ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Data Processing Agreement) wurde am 18. Oktober 2026 geschlossen. Die KI-Funktionen von PostHog, die Dienste externer KI-Anbieter nutzen, haben wir abgeschaltet. Die Einstellung, mit der PostHog unsere Daten in anonymisierter Form zum Training eigener KI-Modelle verwenden dürfte, ist ausgeschaltet. Ob damit jede Verwendung für die Weiterentwicklung von PostHog-Diensten ausgeschlossen ist, sagt PostHog nicht ausdrücklich; der Auftragsverarbeitungsvertrag nennt neben der Analyse für uns auch Benchmarking und Produktentwicklung als Zwecke. Die Daten werden in der EU-Cloud von PostHog in Frankfurt am Main (Rechenzentren von Amazon Web Services) gespeichert. Die von PostHog eingesetzten Unterauftragsverarbeiter findest du unter posthog.com/subprocessors.

An PostHog übermittelt werden ausschließlich:

  • die Art des Ereignisses aus einer festen Liste, ohne Inhalte oder Eingaben: Seitenaufruf; Anzeige und Klick von App-Hinweisen; Start und Abschluss interaktiver Tools; Klick auf den Website-, Instagram- oder Shop-Link einer Rösterei
  • aufgerufene Seite (Pfad ohne Parameter) und Website-Bereich
  • Art der Herkunft (z. B. Suchmaschine, soziale Medien, direkter Aufruf), verweisende Domain (nur die Domain, z. B. google.com) und Herkunftskanal, falls du über einen von uns gekennzeichneten Link kommst (QR-Code, Instagram, Website)
  • bei App-Hinweisen und Tools: Variante bzw. Ziel des Hinweises und Kennung des Tools; bei Rösterei-Links: Art und Platzierung des Links sowie die öffentliche Katalog-Kennung der Rösterei bzw. Kaffeesorte
  • grobe Geräte-Kategorien (Browser-Familie, Betriebssystem-Familie, Desktop/Mobil/Tablet) und Herkunftsland (auf Länderebene)
  • Zeitpunkt des Ereignisses
  • eine täglich wechselnde, pseudonyme Kennung und eine Sitzungskennung für den Besuchstag, gebildet mit einem eigenen Tagesschlüssel (siehe nächster Absatz)
  • technische Kennzeichen, dass das Ereignis von der Website (nicht aus der App) und von unserem Server stammt und ohne Einwilligung erfasst wurde

Tages-Kennung statt Personen- oder Gerätekennung: Damit PostHog die Besucher eines Tages zählen kann, übermitteln wir eine pseudonyme Kennung und eine Sitzungskennung, die genau einen Besuchstag umfasst. Beide bildet unser Server aus deiner IP-Adresse, deiner Browserkennung und dem Datum (UTC) mit einem eigenen Tagesschlüssel nur für PostHog; die Prüfsumme aus Sektion 5c wird dafür nicht verwendet. Dieser Schlüssel wird wie der Schlüssel aus Sektion 5c jeden Tag (UTC) neu als Zufallswert erzeugt und läuft kurz nach Ende des Tages ab (siehe Sektion 5c), ist aber ein anderer als dieser. Beide Kennungen wechseln jeden Tag um 0 Uhr UTC (1 bzw. 2 Uhr deutscher Zeit). Innerhalb eines Tages lassen sich so die Ereignisse derselben Kombination aus Internetanschluss und Browser zusammenfassen (z. B. welche Seiten nacheinander aufgerufen wurden). Wechselst du das Netz, entsteht eine neue Kennung; mehrere Geräte mit gleichem Browser hinter demselben Anschluss können dagegen zusammenfallen. PostHog erhält weder deine IP-Adresse noch deine Browserkennung noch einen unserer Tagesschlüssel und kann die Kennung daher weder zurückrechnen noch über Tagesgrenzen verknüpfen. Uns wäre eine Zuordnung zu einer bereits bekannten IP-Adresse und Browserkennung nur am Tag des Besuchs technisch möglich, solange der Tagesschlüssel existiert; wir nehmen sie nicht vor. Nach dem Löschen des Schlüssels ist sie auch für uns nicht mehr möglich. Wir behandeln diese Kennung als Pseudonym. Steht der Tagesschlüssel ausnahmsweise nicht zur Verfügung, erhält jedes Ereignis eine zufällige, einmalige Kennung; einen festen Ersatzschlüssel verwenden wir nicht.

Nicht an PostHog übermittelt: keine IP-Adresse, keine Browserkennung im Rohformat (User-Agent), keine Seitenadressen mit Parametern, keine vollständigen Referrer-URLs, keine Namen oder E-Mail-Adressen, keine Formular-, Tool- oder Chat-Inhalte, keine Werbe-IDs. Die Anfrage an PostHog stellt unser Server; deine IP-Adresse verlässt dabei unsere Hosting-Umgebung bei Cloudflare nicht. PostHog sieht nur die technische Adresse unseres Servers, deren Speicherung in unserem PostHog-Projekt zusätzlich abgeschaltet ist. PostHog legt keine Personenprofile an, und wir verknüpfen die Daten nicht mit einem App-Konto oder anderen Datenquellen. Die PostHog-Kennung und die Prüfsumme aus Sektion 5c entstehen mit zwei verschiedenen Tagesschlüsseln; die eine lässt sich nicht aus der anderen berechnen. Weil beide Datenbestände dieselben Ereignisse enthalten, wäre ein Abgleich einzelner Ereignisse über Zeitpunkt, Seite und Gerätekategorie technisch möglich. Das tun wir nicht, sondern vergleichen nur Gesamtzahlen. Da im Browser kein PostHog-Skript läuft, gibt es keine automatische Klickerfassung, keine Sitzungsaufzeichnung (Session Replay) und keine Heatmaps.

Zweck: Wir möchten verstehen, welche Inhalte, Tools und Rösterei-Seiten genutzt werden, über welche Wege Besucher zu uns finden und ob Hinweise auf die App sowie Links zu Röstereien angeklickt werden. Damit verbessern wir die Website und können Röstereien ihre Reichweite in zusammengefasster Form nennen.

Speicherdauer: Wir bewahren die Ereignisse bei PostHog höchstens 12 Monate auf. Weil PostHog in unserem Tarif keine einstellbare Löschfrist anbietet (garantiert ist dort eine Aufbewahrung von 12 Monaten, danach darf PostHog löschen), legen wir regelmäßig ein neues PostHog-Projekt an und löschen das bisherige spätestens 12 Monate nach seinem Start. Löschen wir ein Projekt, entfernt PostHog nach eigenen Angaben alle Daten des Projekts; die Ereignisse werden dabei zeitversetzt entfernt. Zur Dauer dieser Löschung und zu Sicherungskopien macht PostHog in seiner öffentlichen Dokumentation keine Angaben. Zusammengefasste Zahlen ohne Personenbezug können wir vor dem Löschen sichern und länger aufbewahren.

Übermittlung in die USA: PostHog Inc. hat ihren Sitz in den USA. Auch wenn die Daten in Frankfurt gespeichert werden, ist nach dem AV-Vertrag ein Zugriff aus den USA oder durch Unterauftragsverarbeiter außerhalb der EU möglich. PostHog Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO; Eintrag geprüft am 2026-10-17); zusätzlich sind im AV-Vertrag die Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO vereinbart. Mehr Informationen: PostHog Privacy Policy · Eintrag im Data Privacy Framework

Rechtsgrundlage und Interessenabwägung: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine datensparsame Reichweitenmessung, um die Inhalte zu verbessern und Röstereien ihre Reichweite zusammengefasst ausweisen zu können. Deine Interessen überwiegen nach unserer Abwägung nicht: PostHog erhält weder deine IP-Adresse noch deine Browserkennung, sondern nur eine feste Liste bereinigter Angaben; die Kennung wechselt täglich, PostHog kann sie nicht über Tagesgrenzen verknüpfen, und nach dem Löschen des Tagesschlüssels können auch wir sie nicht mehr zurückrechnen; es werden keine Profile gebildet und keine Inhalte erfasst; die Daten liegen in der EU; und du kannst die gesamte Messung mit dem Schalter in Sektion 5c, einem Datenschutzsignal deines Browsers oder einem Inhaltsblocker abschalten (siehe Widerspruch).

Kein zusätzlicher Zugriff auf dein Gerät: Die Weiterleitung findet vollständig auf unserem Server statt, nachdem die Messung aus Sektion 5c dort angekommen ist. Sie greift nicht zusätzlich auf dein Gerät zu. Unser Messskript track.js setzt keine Cookies und nutzt weder localStorage noch sessionStorage oder andere Speicher deines Browsers; für PostHog kommt kein weiteres Skript hinzu. Ob dein Browser ein Datenschutzsignal gesetzt hat oder ob du die Messung mit dem Schalter in Sektion 5c abgeschaltet hast (Cookie kw_optout, nur auf deinen Klick gesetzt), erkennt allein unser Server an dem, was dein Browser mit der Messanfrage an unsere Domain mitsendet: am Datenschutzsignal und an den Cookies unserer Domain. Von diesen Cookies prüft er nur, ob kw_optout dabei ist; die übrigen wertet er nicht aus und speichert sie nicht (siehe Widerspruch). Für das Messskript selbst gilt das in Sektion 5c Gesagte; durch die Weiterleitung kommt in deinem Browser nichts hinzu.

Widerspruch: Dein Widerspruch gilt für die gesamte Messung, also für die eigene Zählung aus Sektion 5c und die Weiterleitung an PostHog gemeinsam. Die Wege dazu (Schalter „Messung in diesem Browser abschalten", Browsersignal Global Privacy Control bzw. Do Not Track, Inhaltsblocker oder E-Mail an [email protected]) stehen hervorgehoben in Sektion 5c unter „Dein Widerspruchsrecht". Hast du die Messung mit dem Schalter abgeschaltet oder sendet dein Browser eines dieser Signale, speichern wir nichts und leiten nichts an PostHog weiter.

Deine Rechte: Wir können die gespeicherten Daten aus Sektion 5c und 5f ohne zusätzliche Angaben keiner Person zuordnen und erheben dafür auch keine weiteren Daten (Art. 11 Abs. 1 DSGVO). Nennst du uns Angaben, mit denen sich deine Einträge finden lassen (IP-Adresse, genaue Browserkennung und Tag des Besuchs), bearbeiten wir deine Auskunfts- oder Löschanfrage (Art. 11 Abs. 2 DSGVO). Das geht nur, solange der Tagesschlüssel deines Besuchstags noch existiert, also bis kurz nach Ende dieses Tages (UTC). Danach können wir deine Einträge auch mit diesen Angaben nicht mehr sicher dir zuordnen; wir teilen dir das dann mit und können deine Anfrage insoweit nicht erfüllen (Art. 11 Abs. 2, Art. 12 Abs. 2 DSGVO). Einträge bei PostHog können wir nur löschen, soweit PostHog dafür eine Möglichkeit bietet; andernfalls sagen wir dir das. Dein Widerspruchsrecht (Sektion 5c) und deine übrigen Rechte aus Abschnitt 7 bleiben unberührt. Für Einträge in unserer Datenbank aus der Zeit vor unserer Umstellung auf Tagesschlüssel am 18. Oktober 2026 haben wir statt des Tagesschlüssels einen festen Schlüssel verwendet. Solange dieser feste Schlüssel existiert, sind diese Alt-Einträge für uns technisch rückrechenbar: Mit den genannten Angaben können wir sie auch für zurückliegende Tage finden und deine Anfrage insoweit bearbeiten. Nach seiner Löschung gilt für sie das zum Tagesschlüssel Gesagte. An PostHog wurden vor der Umstellung keine Ereignisse weitergeleitet.

6. Datenverarbeitung in der App „Brühmeister"

Dieser Abschnitt beschreibt die Datenverarbeitung in unserer mobilen App „Brühmeister", die über den Apple App Store und Google Play verfügbar ist. Verantwortlicher ist der unter Abschnitt 1 genannte Florian Sappelt-Ziller.

6.1 Lokale Nutzung ohne Konto (Offline-First)

Die App funktioniert vollständig ohne Nutzerkonto. In diesem Fall verbleiben alle von dir erfassten Daten — z. B. deine Bohnen, Brühprotokolle und App-Einstellungen — ausschließlich lokal auf deinem Gerät (im geräteinternen Speicher der App). Es findet keine Übertragung deiner Inhalte an uns oder Dritte statt.

Solange du die App ohne Konto nutzt, speichern wir keine Inhalte von dir auf unseren Servern. Personenbezogene Daten verarbeiten wir dann nur, wenn du Absturzberichten oder der Nutzungsanalyse zustimmst (Abschnitt 6.13) oder das Demo-Konto öffnest (Abschnitt 6.14). Unabhängig davon lädt die App öffentliche Kataloge von unserem Server, etwa das Röstereien-Verzeichnis und die Liste der Mühlen-Modelle. Dabei sendet sie keine Inhalte von dir; technisch verarbeitet unser Datenbank-Dienstleister Supabase beim Abruf deine IP-Adresse (Abschnitt 6.5).

Karten und Ortssuche: Für die Karte im Röstereien-Verzeichnis lädt die App Kartenausschnitte von einem Kartendienst: auf dem iPhone von Apple (Apple Maps), unter Android von Google (Google Maps) oder, wenn auf deinem Gerät keine Google-Play-Dienste verfügbar sind, von OpenStreetMap. Suchst du nach einem Ort, geht dein Suchbegriff an Apple bzw. an den Ortsdienst deines Android-Geräts. Der jeweilige Anbieter erhält dabei technisch deine IP-Adresse und den angezeigten Kartenausschnitt; wir erhalten davon nichts. Unter Android erhebt das darin enthaltene Software-Paket von Google (Maps SDK) nach Angaben von Google außerdem Angaben zu deinem Gerät (z. B. Modell und Android-Version), Absturzdaten des Pakets, eine eigene zufällige Kennung und deine Bewegungen in der Karte (Verschieben, Zoomen) und nutzt sie auch, um eigene Dienste zu verbessern. Diese Daten erhält Google direkt von deinem Gerät, sobald du die Karte öffnest; sie werden nicht an uns gesendet. Hast du die Standortfreigabe erteilt, nutzt die App deinen Standort für „In der Nähe" nur auf deinem Gerät; auf dem iPhone zeigt die Karte ihn zusätzlich über die Standortdienste von iOS an. Die Herkunftskarte bei deinen Bohnen zeichnet die App selbst, ohne Kartendienst. Datenschutzhinweise der Anbieter: Apple, Google, OpenStreetMap Foundation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer funktionierenden Karten- und Ortssuche).

Umstieg von einer früheren Version: Hast du Brühmeister schon in einer Version vor 2.0 auf diesem Gerät genutzt, übernimmt die App beim ersten Start einmalig deine dort lokal gespeicherten Bohnen, Brühungen, Geräte und Einstellungen. Das geschieht nur auf deinem Gerät, ohne dass dabei Daten an uns gesendet werden. Warst du in der früheren Version angemeldet, bleibst du angemeldet; die Anmeldedaten legt die App dafür nur im geschützten Speicher deines Geräts (Schlüsselbund bzw. Keystore) ab. Vor der Übernahme legt sie zur Sicherheit eine Kopie der alten Daten auf deinem Gerät an (ohne Anmeldedaten). Ist die Übernahme vollständig gelungen, löscht die App den Speicher der früheren Version einschließlich der alten Anmeldung. Gelingt sie nicht, bleiben die alten Daten auf dem Gerät, die App weist dich einmal darauf hin und versucht es beim nächsten Öffnen erneut. Die alten Daten und die Kopie werden in jedem Fall gelöscht, wenn du dein Konto löschst oder dich abmeldest und dabei die Gerätedaten entfernst (Abschnitt 6.9).

6.2 Optionales Nutzerkonto

Möchtest du deine Daten geräteübergreifend synchronisieren oder mit deinem Haushalt teilen, kannst du freiwillig ein Konto anlegen. Dabei verarbeiten wir:

  • E-Mail-Adresse (Pflichtfeld) — für die Anmeldung
  • Vorname (freiwillig) — zur persönlichen Begrüßung in der App

Für die Anmeldung hast du drei Wege:

  • Per E-Mail: passwortlos über einen Magic-Link bzw. einen sechsstelligen Bestätigungscode, den wir dir per E-Mail schicken (Versand über Brevo, Abschnitt 6.5).
  • „Mit Apple anmelden" (iPhone): Du meldest dich bei Apple an, und Apple bestätigt uns deine Anmeldung. Wir erhalten dabei eine Kennung, deine E-Mail-Adresse und beim ersten Mal, wenn du ihn freigibst, deinen Namen. Wählst du bei Apple „E-Mail-Adresse verbergen", erhalten wir nur eine von Apple erzeugte Weiterleitungsadresse.
  • „Mit Google anmelden" (iPhone und Android): Du meldest dich bei Google an, und Google bestätigt uns deine Anmeldung. Wir erhalten dabei eine Kennung, deine E-Mail-Adresse und deinen Namen, soweit Google ihn mitteilt. Auf dem iPhone nutzt die App dafür das Anmelde-Paket von Google.

Bei der Anmeldung über Apple oder Google übernehmen wir den Vornamen aus der Anmeldung, wenn der Anbieter ihn mitteilt. Für die Anmeldung selbst sind Apple bzw. Google eigenständig verantwortlich; es gelten ihre Datenschutzbestimmungen (Apple, Google).

Ein Passwort wird bei uns nicht gespeichert.

Zweck: Bereitstellung des Kontos und der geräteübergreifenden Synchronisation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des von dir gewünschten Konto- und Synchronisationsdienstes).

6.3 Synchronisierte Inhalte

Mit einem Konto werden die von dir erfassten Inhalte mit unserem Backend synchronisiert, damit sie auf mehreren Geräten und — falls du einen Haushalt einrichtest — mit den von dir eingeladenen Mitgliedern verfügbar sind. Dazu gehören:

  • Bohnen, Brühprotokolle und Rezepte – auch eigene Rezepte und Brühphasen und welche Rezepte du welchen Bohnen oder Geräten zugeordnet hast
  • selbst angelegte Röstereien, deine Röstereien-Merkliste (gemerkte Röstereien) und welche Röstereien aus unserem Verzeichnis du schon einmal verwendet hast
  • Haushaltsdaten und -mitgliedschaften
  • optional von dir hinzugefügte Bohnen-Fotos (in einem privaten, nur für deine Haushaltsmitglieder zugänglichen Speicherbereich)
  • optional ein Profilbild: ein eigenes Foto liegt in einem nur für dein Konto zugänglichen Speicherbereich, ein gewähltes Tütenbild wird nur als Auswahl gespeichert. Ein Profilbild, das du vor diesem Update gewählt hast, wird beim nächsten Abgleich ebenfalls hochgeladen.

Diese Inhalte sind durch Zugriffsregeln (Row Level Security) geschützt und nur für dich bzw. deine Haushaltsmitglieder sichtbar. Zur technischen Konfliktauflösung bei der Synchronisation tragen die Datensätze eine zufällig erzeugte Geräte-Kennung; diese dient nicht der geräteübergreifenden Wiedererkennung zu Tracking-Zwecken.

Kontowechsel auf einem Gerät: Meldest du dich auf einem Gerät mit einem anderen Konto an, entfernt die App noch vorhandene Daten des vorherigen Kontos von diesem Gerät. Zur Sicherheit behält sie davon eine Kopie auf dem Gerät; diese wird mit „Abmelden" und „Gerätedaten entfernen" oder mit der Deinstallation gelöscht (Abschnitt 6.9).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Synchronisationsdienstes).

6.4 Frühere Nutzungsstatistik (ältere App-Versionen)

Ältere Versionen der App (vor Version 2.0) haben bei angemeldetem Konto eine datensparsame Nutzungsstatistik in unserer Datenbank bei Supabase in der EU (Frankfurt) erfasst. Gespeichert wurden die Art eines Ereignisses aus einer festen Liste (z. B. „Bohne angelegt", „Brühung gespeichert", „Coach-Tipp übernommen", „Konto angelegt"), die Kennung deines Kontos und der Zeitpunkt; beim Anlegen einer Mühle zusätzlich das gewählte Mühlen-Modell, beim Aufbrauchen einer Packung Rösterei, Sorte, Herkunftsland, Aufbereitung, Röstgrad, bevorzugte Brühmethode und die Anzahl der Tage seit dem Öffnen. Inhalte wie Notizen, Freitexte oder Bewertungswerte wurden nicht erfasst. Die Daten sind über die Konto-Kennung deinem Konto zugeordnet (pseudonym), werden nur zusammengefasst ausgewertet und sind für andere Nutzer nicht einsehbar.

Ab Version 2.0 erfasst die App diese Statistik nicht mehr. An ihre Stelle tritt die Nutzungsanalyse mit PostHog, die nur mit deiner Einwilligung läuft (Abschnitt 6.13). Nutzt du noch eine ältere Version, kannst du die Erfassung dort unter Profil → „Anonyme Nutzungsstatistik" abschalten; sie erfolgt außerdem nur, solange du online und angemeldet bist.

Herkunftsbereich und Kampagne: Kommst du über einen Link von unserer Website, einen QR-Code oder eine Einladung in die App, kann die App einmalig einen groben Herkunftsbereich (z. B. web-tools, web-fehleranalyse, web-app) bzw. eine Kampagnenkennung (z. B. invite für einen Einladungslink oder die Kennung eines QR-Codes) speichern und nach der Anmeldung in deinem Profil ablegen. Das gilt auch für die aktuelle Version 2.0: Öffnest du die App über einen Einladungslink, legt sie einmalig die Kennung invite in deinem Profil ab, und einen Herkunftsbereich bzw. eine Kampagnenkennung aus einer früheren Version übernimmt sie bei der Anmeldung. So sehen wir zusammengefasst, ob Website-Inhalte oder Einladungen zu aktiver App-Nutzung führen. Es wird keine vollständige Adresse (URL), keine E-Mail-Adresse und keine Werbe-ID gespeichert. Die Angaben bleiben, bis du dein Konto löschst. Du kannst dieser Speicherung jederzeit formlos unter [email protected] widersprechen (Art. 21 DSGVO); wir entfernen die Angaben dann aus deinem Profil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, die Wirkung von Website und Einladungen zusammengefasst zu kennen).

Speicherdauer: Die bereits erfassten Einträge der früheren Statistik speichern wir bis zur Löschung deines Kontos; mit der Kontolöschung (Abschnitt 6.9) werden sie mitgelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der App). Du kannst der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), in älteren App-Versionen über den Schalter oder formlos unter [email protected].

6.5 Auftragsverarbeiter der App

Supabase — Für Konto-Verwaltung (Authentifizierung), Datenbank und Foto-Speicher nutzen wir Supabase. Die Verarbeitung erfolgt in der Region Frankfurt (EU). Supabase verarbeitet die Daten als Auftragsverarbeiter ausschließlich nach unseren Weisungen; ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) wurde geschlossen. Mehr Informationen: Supabase Privacy Policy.

Brevo — Der Versand der Konto-E-Mails der App (Magic-Link / Bestätigungscode) erfolgt über den E-Mail-Dienstleister Brevo, der dabei deine E-Mail-Adresse als Auftragsverarbeiter verarbeitet (siehe bereits Abschnitt 5b: Brevo GmbH, Köln; Muttergesellschaft Brevo SAS, Paris; Verarbeitung auf Servern innerhalb der EU; AV-Vertrag nach Art. 28 DSGVO). Mehr Informationen: Brevo Datenschutz.

Mistral AI — Für die KI-gestützte Texterkennung beim freiwilligen Verpackungs-Scan nutzen wir Mistral AI (Mistral AI SAS, Paris, Frankreich), aber nur, wenn du dem zugestimmt hast (Abschnitt 6.11). Mistral verarbeitet die Verpackungsfotos als Auftragsverarbeiter ausschließlich nach unseren Weisungen; die Verarbeitung erfolgt auf Servern innerhalb der Europäischen Union. Die Auftragsverarbeitung ist durch das Data Processing Addendum von Mistral AI (Art. 28 DSGVO) geregelt, das Bestandteil der Nutzungsbedingungen für Geschäftskunden ist. Eine Nutzung deiner Fotos zum Training von KI-Modellen findet nicht statt — wir haben die entsprechende Datennutzung in den Plattform-Einstellungen deaktiviert. Mehr Informationen: Mistral AI Privacy Policy.

PostHog — Für die Nutzungsanalyse und die Absturzberichte in der App, die nur mit deiner Einwilligung laufen (Abschnitt 6.13), nutzen wir PostHog (PostHog Inc., San Francisco, USA; Speicherung in der EU-Cloud in Frankfurt) als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Die App enthält dafür das Software-Paket (SDK) von PostHog, das erst nach deiner Einwilligung gestartet wird. Anbieter, Drittlandübermittlung und Speicherdauer sind in Sektion 5f beschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung des Dienstes) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässigen, sicheren Betrieb); für PostHog und die KI-Texterkennung gilt deine Einwilligung (Abschnitte 6.11 und 6.13).

6.6 Berechtigungen der App

Die App fragt nur nach Berechtigungen, die eine Funktion braucht, und zwar erst, wenn du diese Funktion nutzt. Kamera, Standort und Mitteilungen (unter Android ab Version 13) erlaubst du jeweils über die Abfrage deines Betriebssystems. Alles funktioniert auch, wenn du eine Berechtigung ablehnst; nur die jeweilige Funktion fehlt dann. Erteilte Berechtigungen kannst du jederzeit in den Einstellungen deines Geräts widerrufen.

  • Kamera – für den freiwilligen Verpackungs- bzw. Barcode-Scan (Abschnitt 6.11). Die Kamera läuft nur, während du selbst scannst; es gibt keine Aufnahme im Hintergrund.
  • Fotos – Bohnen-Fotos oder ein Profilbild wählst du über die Fotoauswahl deines Geräts aus. Die App sieht dabei nur die Bilder, die du auswählst, und braucht keinen Zugriff auf deine ganze Mediathek. Sicherst du ein Bild aus Brühmeister (z. B. dein Kaffeejahr oder dein Baristaprofil) in deinen Fotos, fragt dein iPhone einmal nach der Erlaubnis, Bilder hinzuzufügen; lesen kann die App deine Mediathek dadurch nicht.
  • Ungefährer Standort – für „In der Nähe" auf der Röstereien-Karte, um Röstereien nach Entfernung zu sortieren. Die App fragt nur nach dem ungefähren Standort (Android) bzw. nach dem Standort „Beim Verwenden der App" (iOS) und verwendet ihn nur auf deinem Gerät; er wird weder an uns noch an einen Dienstleister gesendet. Statt den Standort freizugeben, kannst du auch einen Ort eingeben. Zu den Kartendiensten siehe Abschnitt 6.1.
  • Mitteilungen – für den Brüh-Timer (Phasenwechsel, auch bei gesperrtem Bildschirm) und für Erinnerungen (z. B. Frische deiner Bohnen, Cold Brew, „Wie war’s?"). Um die Erlaubnis bittet dich die App, wenn du sie zum ersten Mal brauchst: beim ersten „Später bewerten" (dann erinnert sie dich mit „Wie war’s?") und beim Start eines Cold Brews. Die Schalter für die Erinnerungen sind voreingestellt an, wirken aber erst mit deiner Erlaubnis; fehlt sie, zeigt die App das beim Schalter an. Die Mitteilungen erzeugt die App auf deinem Gerät; es gibt keine Push-Nachrichten von unserem Server. Auf dem iPhone zeigt die App einen laufenden Timer zusätzlich als Live-Aktivität auf dem Sperrbildschirm; auch sie wird nur auf dem Gerät aktualisiert.
  • Android, ohne eigene Abfrage (vom System beim Installieren gewährt): Internet und Netzwerkstatus (Synchronisation, Kataloge, Karte), ein Vordergrunddienst und das Wachhalten des Prozessors nur während eine Brühung läuft (damit der Timer pünktlich meldet), Vibration für kurze Rückmeldungen sowie das erneute Einplanen deiner Erinnerungen nach einem Neustart des Geräts.

Die App greift nicht auf Kontakte, Mikrofon, Kalender, Gesundheitsdaten oder deinen genauen Standort zu und liest keine Werbe-ID aus.

6.7 Keine Cookies, keine Werbung, Analyse nur mit Einwilligung

Die App verwendet keine Cookies, kein Google Analytics, kein Firebase und keine Werbe-SDKs. Sie liest keine Werbe-ID deines Geräts aus und betreibt kein geräte- oder app-übergreifendes Profiling. Als einziges Analyse-Werkzeug eines Dritten enthält sie das SDK von PostHog, das erst startet, wenn du Absturzberichten oder der Nutzungsanalyse zustimmst (Abschnitt 6.13). Daneben enthält sie unter Android das Karten-Paket von Google (Abschnitt 6.1) und für „Mit Google anmelden" auf dem iPhone das Anmelde-Paket von Google (Abschnitt 6.2).

6.8 Bereitstellung über die App Stores

Die App wird über den Apple App Store (Apple) und Google Play (Google) bereitgestellt. Beim Download und bei der Nutzung der App erheben Apple bzw. Google als eigenständig Verantwortliche eigene Daten (z. B. Account-, Geräte-, Nutzungs- und Absturzdaten). Auf diese Verarbeitung haben wir keinen Einfluss. Es gelten die Datenschutzbestimmungen der jeweiligen Anbieter:

6.9 Speicherdauer, Kontolöschung und Datenexport

Speicherdauer: Konto- und synchronisierte Daten speichern wir, bis du dein Konto löschst. Für die Nutzungsanalyse und Absturzberichte gilt die Speicherdauer aus Abschnitt 6.13.

Kontolöschung: Du kannst dein Konto jederzeit direkt in der App löschen (auf „Heute" dein Profilbild antippen › „Profil & Einstellungen" › die Zeile mit deiner E-Mail-Adresse › „Konto" › „Konto löschen"). Ohne App geht das per E-Mail von der Adresse deines Kontos an [email protected]; die Schritte stehen auf kaffeewissen.net/app/konto-loeschen/. Eine Löschung in der App startet sofort. Eine Anfrage per E-Mail bearbeiten wir von Hand, unverzüglich und spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), und bestätigen dir die Löschung per E-Mail. Daten, die noch auf deinen Geräten gespeichert sind, entfernst du dort selbst (Abmelden mit „Gerätedaten entfernen" oder Deinstallation). Die Löschung lässt sich nicht rückgängig machen. Dabei passiert Folgendes:

  • Öffentliches zuerst: Dein öffentliches Baristaprofil (Abschnitt 6.10) wird offline genommen und seine Banner-Grafik gelöscht, bevor irgendetwas anderes gelöscht wird.
  • Fotos: Wir löschen die Bohnen-Fotos und die Fotos aus dem Verpackungs-Scan deiner Regale sowie dein Profilbild.
  • Konto und Inhalte: Wir löschen dein Konto (E-Mail-Adresse, Vorname, Anmeldeverknüpfungen) und alle Regale, die dir gehören, mit allen Bohnen, Brühprotokollen, Rezepten, Geräten, selbst angelegten Röstereien und Mitgliedschaften.
  • Anmeldung mit Apple: Hast du dich mit „Mit Apple anmelden" angemeldet, bittet dich die App auf dem iPhone vor dem Löschen um eine kurze Bestätigung bei Apple. Damit widerrufen wir die Verbindung zu deiner Apple-ID bei Apple. Bestätigst du nicht, wird dein Konto trotzdem vollständig gelöscht; die Verbindung entfernst du dann selbst in den iPhone-Einstellungen unter deinem Namen › „Anmelden & Sicherheit" › „Mit Apple anmelden". Löschst du ein solches Konto auf einem Android-Gerät, kann die App diese Bestätigung nicht einholen; die Verbindung entfernst du dann ebenfalls selbst in den iPhone-Einstellungen bzw. unter account.apple.com.
  • Nutzungsanalyse: Wir löschen bei PostHog das deinem Konto zugeordnete Profil mit allen ihm zugeordneten Ereignissen (Abschnitt 6.13). Vorher sendet die App noch wartende Ereignisse, damit sie mitgelöscht werden; danach sendet sie nichts mehr unter deiner Konto-Kennung. Das Profil entfernt PostHog nach eigenen Angaben in der Regel innerhalb weniger Minuten; die Ereignisse löscht PostHog zeitversetzt in lastarmen Zeiten, bei PostHog Cloud am Wochenende, also in der Regel innerhalb einer Woche.
  • Auf dem Gerät: Anschließend werden die synchronisierten Daten auf deinem Gerät entfernt, und du wirst abgemeldet. Dabei entfernt die App alles, was sie auf dem Gerät gespeichert hat, auch interne Sicherungskopien sowie Daten einer früheren App-Version (vor 2.0) und die Kopie aus der Übernahme (Abschnitt 6.1). Deine Auswahl zu Absturzberichten und Nutzungsanalyse bleibt als Geräteeinstellung erhalten; sie enthält keine Angaben zu deiner Person, und du kannst sie in den Einstellungen ändern.

Gelingt ein einzelner Schritt bei einem Dienstleister nicht sofort (z. B. weil Apple oder PostHog nicht erreichbar ist), wird dein Konto trotzdem gelöscht; den fehlenden Schritt holen wir von Hand nach.

Geteilte Regale: Regale anderer Personen, in denen du nur Mitglied bist, bleiben bestehen, denn ihr Inhalt gehört der Person, der das Regal gehört. Deine Mitgliedschaft wird entfernt. Einträge, die du in einem solchen Regal angelegt hast (z. B. Bohnen, Brühungen oder Fotos), gehören zum Regal und bleiben dort erhalten; sie sind nicht mit deinem Konto verknüpft, sondern tragen nur die zufällige Geräte-Kennung aus Abschnitt 6.3. Möchtest du sie entfernen, lösche sie vor der Kontolöschung in der App oder bitte die Person, der das Regal gehört. Gehört dir ein Regal, das du mit anderen teilst, wird es mit seinem gesamten Inhalt gelöscht – auch für die anderen Mitglieder. Die App weist dich vor dem Löschen darauf hin.

Was nach der Löschung bleibt: Unsere tägliche Sicherungskopie der Datenbank bewahren wir drei Tage auf. Gelöschte Daten sind danach spätestens nach drei Tagen auch aus den Sicherungen entfernt. Pseudonyme Analysedaten, die nur unter einer Geräte-Kennung ohne Konto gesendet wurden, können wir keinem Konto zuordnen; für sie gilt die Speicherdauer aus Abschnitt 6.13. Das öffentliche Demo-Konto (Abschnitt 6.14) kann nicht gelöscht werden.

Lokale Daten kannst du zudem durch Abmelden mit „Gerätedaten entfernen" oder durch Deinstallation der App entfernen. Dabei wird alles entfernt, was die App auf dem Gerät gespeichert hat, auch interne Sicherungskopien, Daten einer früheren App-Version und die Kopie aus der Übernahme.

Datenexport: Du kannst deine in der App erfassten Daten jederzeit als JSON- oder CSV-Datei exportieren.

Weitere Betroffenenrechte findest du in Abschnitt 7.

6.10 Öffentliches Baristaprofil (optional)

Du kannst in der App freiwillig ein öffentliches Baristaprofil veröffentlichen — eine Statistik-Seite unter kaffeewissen.net/b/<dein-profilname>, die dein Kaffeejahr zusammenfasst. Ohne deine aktive Veröffentlichung existiert diese Seite nicht.

Was veröffentlicht wird: ausschließlich ein von dir ausgelöster, aggregierter Statistik-Auszug — z. B. Anzahl der Brühungen, verbrauchte Bohnenmenge, Lieblings-Röstereien, Herkunftsländer, Brühmethoden-Verteilung, Tageszeit-Verteilung (stundengenau summiert, keine einzelnen Zeitstempel), dein Equipment (sofern freigegeben) sowie errechnete Abzeichen. Du wählst in der App je Bereich einzeln, was auf der Seite erscheint; abgewählte Bereiche werden nicht übertragen. Der Profilname ist ein frei gewähltes Pseudonym aus einer Wortliste und enthält keinen Klarnamen.

Was NICHT veröffentlicht wird: keine E-Mail-Adresse, kein Klarname, keine Standorte, keine privaten Fotos (Bilder auf der Seite sind Katalogbilder oder generierte Grafiken), keine Notizen oder Freitexte, keine einzelnen Brühprotokolle.

Banner-Grafik: Zum Profil gehört eine öffentlich abrufbare Banner-Grafik (…/banner.png) mit deinen Kernzahlen, die du z. B. in Foren-Signaturen einbinden kannst. Sie wird bei der Veröffentlichung erzeugt und bei Aktualisierungen ersetzt.

Öffentlichkeit: Die Profilseite und die Banner-Grafik sind ohne Anmeldung für jeden abrufbar, der den Link kennt, und können von Suchmaschinen indexiert sowie von Dritten (z. B. Foren, Link-Vorschauen, Web-Archive) zwischengespeichert werden. Auf solche Kopien außerhalb unserer Systeme haben wir keinen Einfluss.

Beenden: Du kannst die Veröffentlichung jederzeit in der App unter Profil → „Öffentliches Profil" deaktivieren. Die Seite und die Banner-Grafik sind danach nicht mehr abrufbar; technisch bedingte Zwischenspeicher (CDN-Cache) leeren sich innerhalb kurzer Zeit. Mit der Kontolöschung (Abschnitt 6.9) wird auch das öffentliche Profil gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die aktive Veröffentlichung in der App). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du die Veröffentlichung deaktivierst.

6.11 Verpackungs-Scan (optional)

Beim Anlegen einer neuen Bohne kannst du freiwillig die Scan-Funktion nutzen: Du fotografierst die Kaffeeverpackung bzw. scannst ihren Barcode, und die App erkennt daraus die Produktdaten (z. B. Rösterei, Sortenname, Herkunft, Varietät, Aufbereitung, Röstgrad, Röstdatum). Die manuelle Eingabe steht dir immer als Alternative zur Verfügung.

Zuerst auf dem Gerät: Die App erkennt Text und Barcode immer zuerst direkt auf deinem Gerät. Dabei verlässt kein Foto dein Gerät.

Deine Wahl beim ersten Scan: Beim ersten Scan fragt dich die App, ob unklare Fotos zusätzlich an ein KI-Sprachmodell in der EU gehen dürfen. Die beiden Antworten „Zustimmen und scannen" und „Nur auf dem Gerät scannen" sind gleichwertig; mit „Nur auf dem Gerät scannen" funktioniert der Scan ebenso, nur ohne KI-Erkennung im Netz. Deine Wahl kannst du jederzeit unter „Profil & Einstellungen" › „Scan mit KI verbessern" ändern; schaltest du sie aus, nutzt der Scan nur noch die Erkennung auf dem Gerät.

Nur mit deiner Zustimmung und einem Konto (Abschnitt 6.2):

  • KI-Erkennung: Erkennt die App eine Packung auf dem Gerät nicht sicher, kannst du die Erkennung mit KI anstoßen. Dann werden bis zu drei Verpackungsfotos verschlüsselt an unser Backend übertragen und von dort zur Texterkennung an unseren Auftragsverarbeiter Mistral AI (Mistral AI SAS, Paris, Frankreich) übermittelt; die Verarbeitung erfolgt auf Servern innerhalb der EU (Details siehe Abschnitt 6.5). Fotografiere bitte nur die Verpackung — die Aufnahme führst du selbst; Bildausschnitt und Zeitpunkt bestimmst allein du.
  • Speicherung der Fotos: Fotos, die zur KI-Erkennung gesendet werden, legen wir zusätzlich in einem privaten Speicherbereich bei unserem Hosting-Anbieter Supabase in der EU (Frankfurt) ab (max. 3 MB pro Bild). Sie sind ausschließlich für dich bzw. deine Haushaltsmitglieder zugänglich, werden niemals veröffentlicht und dienen der Qualitätssicherung und Verbesserung der Erkennung; in Einzelfällen sehen wir sie uns dafür auch selbst an. Mit der Kontolöschung (Abschnitt 6.9) werden auch diese Bilder entfernt.
  • Korrekturen (Crowd-Konsens): Änderst du ein erkanntes Feld vor dem Speichern, protokollieren wir diese Korrektur (betroffenes Feld, ursprünglicher und korrigierter Wert, EAN) zusammen mit deiner Konto-Kennung. Diese Protokolle sind für andere Nutzer nicht einsehbar und dienen ausschließlich dazu, den gemeinsamen Produkt-Katalog automatisch zu verbessern: Erst wenn mehrere unterschiedliche Nutzer dieselbe Korrektur vornehmen, wird der (nicht personenbezogene) Katalog-Eintrag angepasst. Die Konto-Kennung dient dabei nur der Auszählung „eine Person = eine Stimme".

Barcode (EAN): Die App fragt die EAN — eine reine Produktnummer — direkt von deinem Gerät bei der gemeinnützigen Lebensmitteldatenbank Open Food Facts (Open Food Facts, Frankreich) ab, auch ohne Konto; übermittelt wird nur die Produktnummer, niemals Fotos oder Kontodaten, technisch erhält Open Food Facts dabei deine IP-Adresse. Mit einem Konto prüft die App die EAN außerdem gegen einen gemeinsamen Produkt-Katalog; bei einem Treffer ist keine KI-Erkennung nötig. Mehr Informationen: Open Food Facts Datenschutz.

Gemeinschaftlicher Produkt-Katalog: Erkannte Produktdaten werden — nur mit gültiger EAN — in einem für alle Nutzer gemeinsamen Produkt-Katalog zwischengespeichert, damit dieselbe Packung beim nächsten Scan (auch durch andere Nutzer) sofort erkannt wird. Dieser Katalog enthält ausschließlich Produktmerkmale (Marke, Sortenname, Herkunft usw.) und keine personenbezogenen Daten — insbesondere keine beutelspezifischen Angaben wie Röstdatum oder Mindesthaltbarkeitsdatum.

Rechtsgrundlage: Für die KI-Erkennung, die Speicherung der Fotos zur Verbesserung der Erkennung und die Korrektur-Protokolle Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung); du kannst sie jederzeit mit Wirkung für die Zukunft in den Einstellungen widerrufen. Für die Prüfung der EAN Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir angeforderten Scan-Funktion). Die Nutzung ist vollständig freiwillig — ohne Scan werden keine der hier beschriebenen Daten verarbeitet.

Im Bohnenfinder der App kannst du über „Zum Shop" die Produktseite einer Rösterei öffnen. Dabei verlässt du die App; für den Shop gelten die Datenschutzbestimmungen der jeweiligen Rösterei. An den Link hängen wir die Kampagnenparameter utm_source=bruehmeister, utm_medium=app und utm_campaign=bohnenfinder an, damit die Rösterei in ihrer eigenen Statistik erkennen kann, dass der Besuch über Brühmeister kam. Diese Parameter enthalten keine Angaben zu deiner Person, deinem Konto oder deinem Gerät. Der Link öffnet die Produktseite direkt; wir zählen diese Aufrufe nicht. Auch wenn du der Nutzungsanalyse zugestimmt hast (Abschnitt 6.13), meldet die App den Tipp auf „Zum Shop" und die angesehene Kaffeesorte nicht an PostHog.

6.13 Nutzungsanalyse und Absturzberichte in der App (PostHog)

Die App kann Absturzberichte senden und eine Nutzungsanalyse durchführen. Beides hilft uns, Fehler zu finden und die App zu verbessern. Beides ist freiwillig und ausgeschaltet, bis du es selbst einschaltest. Die App funktioniert ohne beides genauso.

Zwei getrennte Schalter, alles aus bis zu deiner Zustimmung: Nachdem du in Brühmeister 2.0 auf diesem Gerät zum ersten Mal eine Brühung gespeichert hast, fragt dich die App in einem kurzen Fenster, ob sie Absturzberichte und ob sie eine Nutzungsanalyse senden darf – auch wenn du die App schon vorher genutzt hast. Beide Schalter stehen anfangs auf „aus"; die Antworten „Beides erlauben" (bzw. „Auswahl speichern", wenn du nur einen Schalter eingeschaltet hast) und „Nein, danke" sind gleich groß und gleich gestaltet. Unter „Was genau wird gesendet?" zeigt dir das Fenster alle Angaben, die übermittelt würden. Schließt du das Fenster ohne Antwort, wird nichts gespeichert und nichts gesendet; die App fragt nach deiner nächsten gespeicherten Brühung noch genau einmal und danach nicht mehr. Dieselben Schalter findest du jederzeit unter „Profil & Einstellungen" › „Datenschutz" (das Profil öffnest du über dein Profilbild auf „Heute"). Solange beide Schalter aus sind, wird der Analysedienst in der App gar nicht gestartet: Die App legt dafür nichts auf deinem Gerät an (außer deiner Antwort selbst) und sendet nichts an PostHog. Was vor deiner Zustimmung in der App passiert, wird nicht gesammelt und auch nicht später nachgereicht. Ändern wir Zweck, Empfänger oder Art der Daten wesentlich, fragt dich die App erneut; bis du neu geantwortet hast, gilt deine frühere Zustimmung nicht.

Deine Auswahl gilt nur für dieses Gerät. Sie wird nicht mit deinem Konto synchronisiert und nicht in Gerätesicherungen (iCloud bzw. Android-Sicherung oder Geräteumzug) übernommen; auf einem neuen Gerät fragt dich die App erneut.

Absturzberichte (Schalter „Absturzberichte"): Stürzt die App ab, wird (in der Regel beim nächsten Start) ein technischer Fehlerbericht gesendet: Art und Stelle des Fehlers im Programmcode, App-Version und Build, Gerätedaten (z. B. Gerätemodell, Betriebssystem und Version, Sprache) und die zufällige Geräte-Kennung (siehe unten). Zum Fehlerbericht gehört auch die technische Fehlermeldung des Programms. Sie besteht in der Regel nur aus der Art des Fehlers; in seltenen Fällen kann sie einen Wert enthalten, mit dem die App gerade gearbeitet hat (z. B. eine nicht lesbare Eingabe). Wir nutzen Fehlerberichte ausschließlich, um Fehler zu finden und zu beheben. Ist nur dieser Schalter an, verlässt außer solchen Fehlerberichten nichts dein Gerät, und die Berichte werden nicht mit deinem Konto verknüpft.

Nutzungsanalyse (Schalter „Nutzungsanalyse"): Ist dieser Schalter an, sehen wir, welche Funktionen genutzt werden. Übermittelt werden ausschließlich:

  • Ereignisse aus einer festen Liste, z. B. „Brühung gestartet/gespeichert/bewertet", „Bohne angelegt/aufgebraucht", „Scan gestartet/abgeschlossen/fehlgeschlagen", „Coach-Tipp angezeigt/übernommen", „Onboarding abgeschlossen", „Werkzeug geöffnet", „Röstereien-Verzeichnis bzw. Rösterei-Profil geöffnet", „Artikel auf kaffeewissen.net geöffnet", „angemeldet/abgemeldet", „Synchronisation erfolgreich/fehlgeschlagen", „Regal beigetreten", „Link in die App geöffnet", „Einwilligung geändert" sowie „App geöffnet" und „App in den Hintergrund gewechselt". Zu einem Ereignis gehören nur feste Werte, Ja/Nein-Angaben und gerundete Bereiche, z. B. die Brühmethode, die Brühzeit als Bereich („25–30 s"), ob eine Bewertung abgegeben wurde (nicht ihre Höhe), die Art eines Fehlers, die Erfahrungsstufe aus dem Onboarding oder wie lange eine Packung offen war (als Bereich, z. B. „14–30 Tage").
  • die Namen der aufgerufenen Bildschirme aus einer festen Liste (z. B. „Bohnen", „Röstereien", „Statistik").
  • öffentliche Katalog-Kennungen, wenn sich ein Ereignis darauf bezieht: eine Rösterei aus unserem Verzeichnis, die Kennung eines Coach-Tipps, der Adressteil eines Artikels auf kaffeewissen.net. Kennungen deiner eigenen Einträge (Bohnen, Brühungen, Geräte, selbst angelegte Röstereien, Regale) werden nie übermittelt.
  • bei jedem Ereignis: Plattform (iOS, Android oder Apple Watch), App-Version und Build, Sprache und Region der App (z. B. de-DE), die Version unserer Ereignisliste, die Art deiner Zustimmung und ein Kennzeichen für unsere internen Testgeräte.
  • Gerätedaten und technische Angaben, die der Analysedienst selbst ergänzt: Hersteller, Modell und Art des Geräts (z. B. Telefon oder Tablet), Betriebssystem und Version, Bildschirmgröße, Zeitzone, Art der Netzverbindung (WLAN oder Mobilfunk), die Kennung der App und die Version des Analysedienstes sowie einige technische Kennzeichen: ob die App eine Testversion (TestFlight) ist oder in einem Simulator läuft, ob du angemeldet bist, dass Ortsbestimmung und Bildschirmaufzeichnung abgeschaltet sind, die Dauer der Nutzungssitzung und Angaben zur Warteschlange noch nicht gesendeter Ereignisse.
  • der Zeitpunkt des Ereignisses, eine zufällige Sitzungs-Kennung (neu für jede Nutzungssitzung) und die zufällige Geräte-Kennung.

Zufällige Geräte-Kennung und Konto-Kennung: Wenn du einen Schalter einschaltest, erzeugt der Analysedienst auf deinem Gerät eine zufällige Kennung für diese Installation. Sie enthält weder deinen Namen noch deine E-Mail-Adresse, ist nicht die Werbe-ID deines Geräts (IDFA bzw. Google-Werbe-ID) und auch nicht die Kennung, die die Synchronisation verwendet (Abschnitt 6.3). Die Daten sind damit nicht anonym, sondern pseudonym. Bist du angemeldet und ist die Nutzungsanalyse eingeschaltet, ordnen wir die Ereignisse deinem Konto zu – über die zufällige Kennung deines Kontos, nicht über deine E-Mail-Adresse. Dabei werden auch die Ereignisse zugeordnet, die dieses Gerät seit dem Einschalten gesendet hat. Zu deinem Konto speichert PostHog dann nur wenige zusammengefasste Angaben: App-Version, Erfahrungsstufe aus dem Onboarding, die Zahl deiner offenen Packungen als Bereich (z. B. „3–5"), ob du ein mit anderen geteiltes Regal hast, auf welcher Plattform du die App zuerst genutzt hast und den groben Herkunftsbereich aus Abschnitt 6.4. Meldest du dich ab, beginnt die App mit einer neuen Geräte-Kennung. Das öffentliche Demo-Konto (Abschnitt 6.14) wird nie zugeordnet.

Was nicht übermittelt wird (für Absturzberichte gilt zusätzlich der Hinweis zur Fehlermeldung oben): keine Namen, keine E-Mail-Adresse, keine Notizen oder anderen Freitexte, keine Namen deiner Bohnen, Rezepte, Geräte oder Röstereien, keine Bewertungswerte, keine Fotos, kein Standort, keine Kontakte, keine Werbe-ID, keine Kennungen deiner eigenen Einträge. Es gibt keine Bildschirmaufzeichnung (Session Replay), keine automatische Erfassung von Fingertipps, keine Umfragen über den Analysedienst und keine vom Dienst gesteuerten Funktionsschalter. Den Tipp auf „Zum Shop" im Bohnenfinder meldet die App nicht an PostHog (Abschnitt 6.12).

IP-Adresse: Die App sendet direkt an PostHog. Technisch erhält PostHog dabei deine IP-Adresse. In unserem PostHog-Projekt ist eingestellt, dass die IP-Adresse verworfen und nicht mit den Ereignissen gespeichert wird, und eine Ortsbestimmung aus der IP-Adresse ist für jedes Ereignis unterbunden. Ob PostHog die IP-Adresse darüber hinaus kurzzeitig in technischen Protokollen seiner Server vorhält, etwa zur Abwehr von Angriffen, gibt PostHog in seiner öffentlichen Dokumentation nicht an; auch dafür darf PostHog die Daten nach dem Auftragsverarbeitungsvertrag nur nach unseren Weisungen verarbeiten.

Abruf von Einstellungen: Ist mindestens einer der beiden Schalter eingeschaltet, kann die App beim Start bzw. bei der Anmeldung einmalig Einstellungen des Dienstes bei PostHog abrufen. Dabei werden keine Inhalte von dir übertragen; technisch erhält PostHog auch hierbei deine IP-Adresse, die wie oben verworfen wird. Sind beide Schalter aus, ruft die App nichts bei PostHog ab.

Apple Watch: Die Watch-App enthält keinen Analysedienst. Brühungen, die du auf der Watch erfasst, meldet – mit deiner Zustimmung auf dem iPhone – das iPhone.

Kein Tracking, keine Werbung: Wir verknüpfen diese Daten nicht mit Daten anderer Unternehmen, nutzen sie nicht für Werbung und geben sie nicht an Datenhändler weiter. Ein „Tracking" im Sinne der App-Tracking-Transparenz von Apple findet nicht statt; die App fragt deshalb auch nicht danach.

Zweck: Wir möchten verstehen, welche Funktionen genutzt werden, wo der Einstieg (Onboarding, Konto, Synchronisation) hakt, ob Hinweise und Coach-Tipps helfen und wo die App abstürzt oder Fehler hat. Damit beheben wir Fehler und verbessern die App.

Widerruf: Du kannst deine Einwilligung jederzeit unter „Profil & Einstellungen" › „Datenschutz" widerrufen, für jeden Schalter einzeln. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der Verarbeitung bis dahin bleibt unberührt. Schaltest du die Nutzungsanalyse aus, sendet die App ab sofort keine Nutzungsereignisse mehr; Ereignisse, die noch auf deinem Gerät warten, werden verworfen und nicht nachgesendet, und die Geräte-Kennung wird gelöscht. Schaltest du beide Schalter aus, wird der Analysedienst beendet und alles, was er auf deinem Gerät gespeichert hat, gelöscht. Ein Datenpaket, das im Moment des Widerrufs bereits unterwegs ist, kann noch ankommen. Bereits übermittelte Daten bleiben bei PostHog bis zum Ende der Speicherdauer; mit der Kontolöschung werden die deinem Konto zugeordneten Daten gelöscht (Abschnitt 6.9).

Anbieter und Auftragsverarbeitung: PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, USA. PostHog verarbeitet die Daten als Auftragsverarbeiter ausschließlich nach unseren Weisungen auf Grundlage eines Vertrags nach Art. 28 DSGVO; es ist derselbe Vertrag und dasselbe Projekt wie für die Website (Sektion 5f). Die KI-Funktionen von PostHog, die Dienste externer KI-Anbieter nutzen, haben wir abgeschaltet. Die Einstellung, mit der PostHog unsere Daten in anonymisierter Form zum Training eigener KI-Modelle verwenden dürfte, ist ausgeschaltet. Ob damit jede Verwendung für die Weiterentwicklung von PostHog-Diensten ausgeschlossen ist, sagt PostHog nicht ausdrücklich; der Auftragsverarbeitungsvertrag nennt neben der Analyse für uns auch Benchmarking und Produktentwicklung als Zwecke (wie Sektion 5f). Die Daten werden in der EU-Cloud von PostHog in Frankfurt am Main (Rechenzentren von Amazon Web Services) gespeichert. Die Unterauftragsverarbeiter findest du unter posthog.com/subprocessors; neue Unterauftragsverarbeiter kündigt PostHog uns nach dem AV-Vertrag 14 Tage vorher an.

Übermittlung in die USA: Auch wenn die Daten in Frankfurt gespeichert werden, ist ein Zugriff aus den USA oder durch Unterauftragsverarbeiter außerhalb des EWR möglich. PostHog Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO); zusätzlich sind im AV-Vertrag die Standardvertragsklauseln der EU-Kommission (Modul 2, Verantwortlicher an Auftragsverarbeiter) gemäß Art. 46 DSGVO vereinbart. Einzelheiten und Links stehen in Sektion 5f.

Speicherdauer: Es gilt dieselbe Speicherdauer wie in Sektion 5f: höchstens 12 Monate. Die deinem Konto zugeordneten Daten lassen wir mit der Kontolöschung löschen (Abschnitt 6.9).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung); für das Speichern der Kennung und der Warteschlange auf deinem Gerät und das Auslesen dieser Daten § 25 Abs. 1 TDDDG. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), wie oben beschrieben.

Deine Rechte: Für Daten, die deinem Konto zugeordnet sind, kannst du Auskunft und Löschung über [email protected] verlangen oder dein Konto löschen (Abschnitt 6.9). Daten, die nur unter einer Geräte-Kennung ohne Konto gespeichert sind, können wir ohne zusätzliche Angaben keiner Person zuordnen (Art. 11 DSGVO); die App zeigt diese Kennung nicht an. Deine übrigen Rechte aus Abschnitt 7 bleiben unberührt.

6.14 Öffentliches Demo-Konto

Damit du (und die Prüfer von Apple und Google) die Konto-Funktionen ausprobieren kannst, ohne ein eigenes Konto anzulegen, gibt es ein öffentliches Demo-Konto mit Beispieldaten: ein Regal mit Bohnen und Brühungen, ein geteiltes Regal und ein veröffentlichtes Baristaprofil (kaffeewissen.net/b/demo-barista). Du öffnest es in der App beim Anmelden über „Demo-Konto ansehen", ohne E-Mail-Adresse, Passwort oder Code.

Nur lesen: Das Demo-Konto ist für alle gleich und schreibgeschützt – in der App und auf unserem Server. Was du dort änderst, wird nicht gespeichert und nicht hochgeladen; Scan, Einladungen, Profiländerungen und Kontolöschung sind gesperrt. Die App lädt die Beispieldaten nur herunter.

Deine eigenen Daten bleiben bei dir: Liegen auf deinem Gerät schon eigene Einträge (z. B. Bohnen, Brühungen oder Geräte, die du ohne Konto angelegt hast), fragt dich die App vorher. Stimmst du zu, legt sie diese Einträge als Sicherheitskopie auf deinem Gerät beiseite – nichts davon wird hochgeladen oder mit den Beispieldaten gemischt. Verlässt du die Demo über „Abmelden", werden die Beispieldaten vom Gerät entfernt und deine eigenen Einträge zurückgeholt.

Was wir dabei verarbeiten: Zum Öffnen der Demo ruft die App eine Funktion auf unserem Server bei Supabase in der EU (Frankfurt) auf, die eine Sitzung für das Demo-Konto ausgibt. Um Missbrauch zu begrenzen, zählt sie kurzzeitig im Arbeitsspeicher, wie oft eine IP-Adresse die Demo öffnet (höchstens zehnmal in zehn Minuten); die IP-Adresse wird dafür nicht dauerhaft gespeichert. Das Demo-Konto wird in unserer Nutzungsanalyse nie einer Person zugeordnet (Abschnitt 6.13) und aus unseren Statistiken herausgefiltert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir aufgerufenen Demo) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch).

7. Deine Rechte

Du hast gegenüber dem Verantwortlichen folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:

  • Auskunftsrecht (Art. 15 DSGVO)
  • Recht auf Berichtigung (Art. 16 DSGVO)
  • Recht auf Löschung (Art. 17 DSGVO)
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruchsrecht (Art. 21 DSGVO)

Zur Ausübung dieser Rechte wende dich bitte per E-Mail an: [email protected]

8. Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Eine Liste der zuständigen Behörden in Deutschland findest du auf der Website des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit: bfdi.bund.de

Stand: Oktober 2026