Datenschutzerklärung

Stand: 3. Juli 2026 — Entwurf, juristische Prüfung ausstehend.

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir auf der Website myqubi.de und in der myQubi-App verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange — und welche Rechte Ihnen zustehen.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Das Wichtigste in Kürze

• Wir betreiben kein Werbe- oder Analyse-Tracking: keine Analyse-Tools, keine Werbe- oder Tracking-Cookies, keine Einbindung fremder CDNs (Schriften werden von unserem eigenen Server geladen). Zur Stabilität setzen wir ein rein technisches Fehler-Monitoring ein (Abschnitt 10).
• Die Website nutzt genau ein Cookie: das Session-Cookie des internen Verwaltungsbereichs, der ausschließlich vom Betreiber genutzt wird (technisch erforderlich, § 25 Abs. 2 Nr. 2 TDDDG). Deshalb gibt es keinen Cookie-Banner.
• Unsere Server stehen in Deutschland. Einzelne Dienstleister (E-Mail, Zahlungsabwicklung, Backups, KI-Analyse, Fehler-Monitoring) sitzen in den USA — Details und Übermittlungsgarantien unten in Abschnitt 11.
• Wir erheben nur Daten, die für den jeweiligen Zweck erforderlich sind.

3. Hosting, Server-Logs und Betriebssicherheit

Die Website wird auf einem Server in Deutschland betrieben (Rechenzentrum: [Hosting-Anbieter, z. B. netcup GmbH, Deutschland]). Beim Aufruf der Website verarbeitet der Server automatisch technische Zugriffsdaten (IP-Adresse, Zeitstempel, aufgerufene Seite, User-Agent des Browsers) in Server-Logs. Zweck ist die Auslieferung der Inhalte, die Gewährleistung der Betriebssicherheit sowie die Erkennung und Abwehr von Angriffen und Missbrauch. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Logs werden regelmäßig, spätestens nach [z. B. 14 Tagen], gelöscht, sofern kein sicherheitsrelevanter Vorfall eine längere Aufbewahrung erfordert.

Zum Schutz vor automatisierten Massenanfragen (Rate-Limiting) wird Ihre IP-Adresse kurzzeitig im Arbeitsspeicher des Servers verarbeitet; sie wird dabei nicht dauerhaft gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit).

4. Cookies

Für Besucherinnen und Besucher der öffentlichen Seiten setzen wir keine Cookies. Das einzige Cookie der Website ist das Login-Session-Cookie des internen Verwaltungsbereichs (/management), der nur vom Betreiber selbst verwendet wird. Es ist für den Login technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO) und wird beim Abmelden bzw. mit Ablauf der Session gelöscht. Eine Einwilligung (Cookie-Banner) ist daher nicht erforderlich.

5. Öffentliche Rezeptseiten

Nutzerinnen und Nutzer der myQubi-App können Rezepte über einen Link (myqubi.de/rezept/…) öffentlich teilen. Auf diesen Seiten werden keine personenbezogenen Daten der Besucher verarbeitet (abgesehen von den technischen Zugriffsdaten aus Abschnitt 3). Angezeigt wird nur der Rezeptinhalt, den die teilende Person selbst freigegeben hat; die Freigabe kann in der App jederzeit widerrufen werden, der Link ist danach sofort ungültig.

6. Beta-Anmeldung

Wenn Sie sich für unser Beta-Programm anmelden, verarbeiten wir Ihre E-Mail-Adresse, Ihren Vor- und Nachnamen, Ihre Postadresse (Straße, PLZ, Ort) sowie Ihre gewählte Plattform (iOS oder Android). Zwecke:

• Versand kostenloser QR-Sticker per Post (Versand nur innerhalb Deutschlands),
• Kommunikation rund um die Beta per E-Mail (Bestätigung der Anmeldung, Einladung zu TestFlight/Google Play, Feedback-Fragen).

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie bei der Anmeldung per Checkbox erteilen und per Bestätigungslink in einer E-Mail verifizieren (Double-Opt-in). Den Wortlaut der Einwilligung speichern wir versioniert zusammen mit dem Zeitpunkt Ihrer Bestätigung, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — eine formlose E-Mail an info@mariusklingl.de genügt. Ihre Beta-Daten werden dann gelöscht. Ohne Widerruf speichern wir die Daten für die Dauer des Beta-Programms und löschen sie anschließend, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Sticker-Shop

Im Sticker-Shop können Sie ohne Kundenkonto bestellen. Der Kauf (Adresseingabe und Zahlung) wird über den Zahlungsdienstleister Stripeabgewickelt (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland). Dabei können Daten auch an die Muttergesellschaft Stripe, Inc. (USA) übermittelt werden; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend bestehen EU-Standardvertragsklauseln. Welche Daten Stripe im Checkout verarbeitet (z. B. Zahlungsdaten), entnehmen Sie der Datenschutzerklärung von Stripe (stripe.com/de/privacy).

Aus dem Checkout erhalten und speichern wir zur Abwicklung Ihrer Bestellung: E-Mail- Adresse, Versandadresse, Bestellpositionen und Betrag. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Versand erfolgt nur innerhalb Deutschlands und wird vom Betreiber selbst durchgeführt (Frankierung online); eine Sendungsnummer erhalten Sie ggf. per E-Mail. Bestell- und Rechnungsdaten bewahren wir nach den handels- und steuerrechtlichen Vorgaben auf (6 bzw. 10 Jahre, § 257 HGB, § 147 AO — Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO) und löschen sie danach.

8. E-Mail-Versand (Resend)

Transaktions-E-Mails (z. B. Login-Codes, Beta-Bestätigung, Bestell- und Versandbestätigungen) versenden wir über den Dienstleister Resend (Resend, Inc., USA) als Auftragsverarbeiter. Dabei werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht verarbeitet. Rechtsgrundlage ist die Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) bzw. bei Beta-Mails Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Zur Drittlandübermittlung siehe Abschnitt 11.

9. Backups

Zur Datensicherung erstellen wir regelmäßig verschlüsselte Backups (Verschlüsselung bereits auf unserem Server, restic). Die verschlüsselten Sicherungen werden bei Backblaze B2 in einem Rechenzentrum in der EU gespeichert (Anbieter: Backblaze, Inc., USA). Rechtsgrundlage ist unser berechtigtes Interesse an Datensicherheit und Wiederherstellbarkeit (Art. 6 Abs. 1 lit. f DSGVO). Backups werden turnusmäßig überschrieben bzw. gelöscht.

10. Fehler-Monitoring (Sentry)

Zur Erkennung, Diagnose und Behebung technischer Fehler setzen wir auf der Website und in der myQubi-App den Dienst Sentry ein (Functional Software, Inc., USA). Die Fehlerberichte (Event-Daten) werden in einem Rechenzentrum in der EU verarbeitet und gespeichert (EU-Datenresidenz, Frankfurt am Main). Tritt ein technischer Fehler auf, wird ein Bericht mit rein technischen Angaben übermittelt: Fehlermeldung und Stacktrace, Browser- bzw. Gerätetyp und Betriebssystem, App-Version, betroffene Seite bzw. Funktion sowie Zeitpunkt des Fehlers.

Wir haben Sentry so konfiguriert, dass keine E-Mail-Adressen, Eingabeinhalte, Cookies oder Zugangsdaten übermittelt werden (die Übertragung personenbezogener Angaben ist deaktiviert; zusätzlich entfernt eine automatische Filterung E-Mail-Adressen und Zugangs-Tokens aus jedem Bericht, bevor er versendet wird). Das Fehler-Monitoring dient ausschließlich der Stabilität und Sicherheit unserer Dienste — ein Werbe- oder Analyse-Tracking findet damit nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Fehlerberichte werden nach 30 Tagen automatisch gelöscht. Soweit im Einzelfall Daten an die Muttergesellschaft in den USA übermittelt werden, stützt sich dies auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln (siehe Abschnitt 11).

11. Empfänger und Drittlandübermittlung

Wir geben personenbezogene Daten nur weiter, soweit dies zur Vertragsabwicklung oder zum Betrieb erforderlich ist. Eingesetzte Dienstleister mit Sitz in den USA:

• Stripe, Inc. (Zahlungsabwicklung, siehe Abschnitt 7),
• Resend, Inc. (E-Mail-Versand, siehe Abschnitt 8),
• Backblaze, Inc. (verschlüsselte Backups, EU-Region, siehe Abschnitt 9),
• Functional Software, Inc. (Sentry, Fehler-Monitoring — Event-Daten in der EU, siehe Abschnitt 10),
• OpenRouter, Inc., RevenueCat, Inc. sowie Apple/Google/Expo (nur App, Abschnitt 12).

Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der jeweilige Anbieter zertifiziert ist, ergänzend bzw. ansonsten auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit zusätzlichen Schutzmaßnahmen wie Verschlüsselung.

12. myQubi-App

Für die myQubi-App gilt ergänzend:

• Konto: Registrierung und Anmeldung per „Sign in with Apple“, Google- Login oder E-Mail-Code. Wir speichern die zum Konto gehörende E-Mail-Adresse bzw. die vom Anmeldedienst übermittelte Kennung (Art. 6 Abs. 1 lit. b DSGVO).
• Haushalts- und Vorratsdaten: Ihre Inventar-, Erinnerungs-, Einkaufslisten- und Haushaltsdaten werden auf unserem Server in Deutschland gespeichert und im Familienmodus mit den Mitgliedern Ihres Haushalts geteilt (Art. 6 Abs. 1 lit. b DSGVO).
• KI-Funktionen (Qubi Plus):Wenn Sie eine KI-Funktion aktiv nutzen (z. B. Foto-Analyse, Rezept-Erkennung), werden das Foto bzw. der Text zur Analyse an OpenRouter, Inc. (USA) übermittelt. Fotos werden von uns nicht gespeichert — wir behalten lediglich einen kryptographischen Hash-Wert (SHA-256) als Cache-Schlüssel, aus dem sich das Bild nicht rekonstruieren lässt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Abo-Verwaltung: Das Qubi-Plus-Abo wird über Apple App Store bzw. Google Play abgeschlossen; zur Verwaltung der Kaufbelege setzen wir RevenueCat, Inc. (USA) als Auftragsverarbeiter ein (pseudonyme Nutzer-ID, Transaktionsdaten der Stores — Art. 6 Abs. 1 lit. b DSGVO). Zahlungsdaten verbleiben bei Apple/Google.
• Push-Benachrichtigungen: Erinnerungen werden über den Push-Dienst von Expo sowie die Dienste von Apple (APNs) bzw. Google (FCM) zugestellt (Geräte-Token, Nachrichteninhalt). Sie können Push in den Systemeinstellungen jederzeit deaktivieren.
• Fehler-Monitoring: Stürzt die App ab oder tritt ein technischer Fehler auf, wird ein Fehlerbericht ohne persönliche Inhalte an Sentry übermittelt — Umfang, Konfiguration (keine E-Mail-Adressen oder Eingabeinhalte) und Speicherdauer wie in Abschnitt 10 beschrieben.
• Export und Löschung: Sie können Ihre Daten in der App jederzeit exportieren (Datenexport) und Ihr Konto in der App löschen. Nach der Löschanfrage gilt eine Frist von 30 Tagen (Widerruf möglich), danach werden die Daten endgültig gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

13. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte zu:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen Ihrer besonderen Situation (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung genügt eine formlose E-Mail an info@mariusklingl.de.

14. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

15. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

16. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.