Datenschutzerklärung

Die Kurzfassung

Shalotte hilft dir, klüger zu kochen – mit dem, was schon in deiner Küche ist. Dafür speichern wir deinen Küchenvorrat, deine Geräte, deine Kochhistorie und deine Vorlieben. Für Rezeptvorschläge und die Verarbeitung von Spracheingaben nutzen wir Künstliche Intelligenz (Claude von Anthropic, für die Spracherkennung zusätzlich OpenAI) – deine Daten werden an deren API übermittelt, aber niemals zum Training von KI-Modellen verwendet. Wir verkaufen deine Daten nicht. Niemals. Du kannst dein Konto und alle deine Daten jederzeit löschen.

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Felix Wolf Dieselstraße 10 61118 Bad Vilbel Deutschland

E-Mail: privacy@shalotte.com

Die vollständigen Anbieterangaben findest du im Impressum.

Welche Daten wir erheben und warum

Kontodaten

E-Mail-Adresse, Name, Passwort (verschlüsselt durch Supabase Auth).

Zur Einrichtung deines Kontos und zur Authentifizierung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Küchendaten

Vorratsartikel (Lebensmittel, Zonen, Mengen, Haltbarkeitsdaten), Küchengeräte (Namen, Marken), Ernährungsvorlieben, Küchenpräferenzen, Haushaltsgröße, Kochniveau.

Das ist der Kern von Shalotte – wir müssen wissen, was in deiner Küche ist, um Vorschläge zu machen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Kochaktivität

Kochhistorie (was du wann gekocht hast, Bewertungen, Portionen), geplante Mahlzeiten, Reservierungen, Einkaufslisten.

Um Wiederholungen zu vermeiden, deine Vorlieben zu lernen und deine Einkaufsliste zu verwalten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Lebensmittel-Präferenzen

Einkaufsmuster, bevorzugte Zonen, Mengen, Einheiten, häufig gekaufte Artikel.

Zur Personalisierung von Vorschlägen und schnelleren Eingabe. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO – Verbesserung deines Erlebnisses).

Sprachdaten

Audioaufnahmen aus der Spracheingabe, die daraus erzeugten Transkripte sowie die geparsten Ergebnisse.

Um deine Sprache in Vorratsartikel umzuwandeln. Die Audioaufnahme wird zur Spracherkennung an OpenAI übermittelt und von uns nicht gespeichert; die entstehenden Transkripte werden vorübergehend zur Fehlersuche und Genauigkeitsverbesserung protokolliert. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO – du entscheidest dich für die Spracheingabe).

Nutzungsdaten

API-Aufruf-Protokolle (welche Funktionen du nutzt, Token-Zahlen, Zeitstempel). Es werden keine IP-Adressen in unserer Datenbank gespeichert.

Zur Kostenkontrolle, Missbrauchserkennung und Verbesserung des Dienstes. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Feedback

Nachrichten, die du uns über die App sendest.

Zur Verbesserung von Shalotte. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Anmelde-Attribution

Wenn du über einen Link mit Kampagnen-Parametern (utm_source, utm_medium, utm_campaign), einer Werbe-Klick-Kennung wie fbclid oder einem Empfehlungscode zu uns kommst, speichern wir diese Werte und die aufgerufene Landingpage einmalig bei der Anmeldung zu deinem Konto.

Damit verstehen wir, über welche Kanäle Menschen zu Shalotte finden. Die Werte bleiben bei uns (first-party), werden nicht an das Werbenetzwerk zurückgespielt und nicht zur Profilbildung genutzt. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO – Reichweitenmessung). Auf Wunsch löschen wir sie aus deinem Konto.

Haushalts-Teilung

Wenn du einen Haushalt anlegst oder ihm beitrittst: Name des Haushalts, wer Mitglied ist und in welcher Rolle, sowie der verwendete Einladungscode.

Ein Haushalt existiert, damit die Menschen, mit denen du kochst, eine gemeinsame Küche nutzen. Solange du Mitglied bist, sind dein Vorrat, deine Einkaufsliste und dein Essensplan für alle anderen Mitglieder sichtbar und von ihnen bearbeitbar. Verlässt du den Haushalt, kehrst du in deine eigene Küche zurück. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Einwilligungs- und Rechtsnachweise

Ob und wann du bei der Anmeldung die AGB akzeptiert hast, der Stand deiner Analyse-Einwilligung samt letzter Änderung sowie die Information, ob du Lifecycle-E-Mails abbestellt hast.

Wir speichern das, um belegen zu können, dass eine Einwilligung tatsächlich erteilt oder widerrufen wurde, und um deine E-Mail-Entscheidung einzuhalten. Rechtsgrundlage: rechtliche Verpflichtung (Art. 7 Abs. 1 DSGVO – Nachweispflicht für Einwilligungen). Sie werden zusammen mit deinem Konto gelöscht.

Einsatz von Künstlicher Intelligenz

Shalotte nutzt die Claude-API von Anthropic, um Rezeptvorschläge zu erstellen, Spracheingaben zu verarbeiten und die Sous-Chef-Funktion zu betreiben. Wenn du diese Funktionen nutzt:

• Dein Vorrat, deine Geräte, deine Vorlieben und deine jüngste Kochhistorie werden an die Claude-API übermittelt, um personalisierte Ergebnisse zu erzeugen.
• Anthropic speichert API-Protokolle für 7 Tage zur Sicherheitsüberwachung und löscht sie danach automatisch.
• Deine Daten werden niemals zum Training von KI-Modellen verwendet. Die API-Bedingungen von Anthropic schließen ein Training mit Kundendaten ausdrücklich aus.
• Die Spracheingabe läuft in zwei Schritten: Die Audioaufnahme wird zunächst an OpenAI (gpt-4o-mini-transcribe) übermittelt und dort in Text umgewandelt; OpenAI nutzt über die API übermittelte Audiodaten nicht zum Training. Das entstandene Transkript wird anschließend an Claude (Haiku-Modell) übergeben und in Vorratsartikel geparst. Shalotte selbst speichert die Audiodaten nicht.
• Fotos, die du für die Foto-Inventur aufnimmst, werden an Claude übermittelt, um die Lebensmittel darauf zu erkennen; sie werden transient im Arbeitsspeicher verarbeitet und von Shalotte nicht gespeichert.

Außerdem nutzen wir OpenWeatherMap, um Wetterdaten für wetterpassende Vorschläge abzurufen. Wir erheben und verarbeiten deinen Standort nicht: Die Abfrage nutzt für alle Nutzerinnen und Nutzer dieselben festen Koordinaten. An OpenWeatherMap werden keinerlei personenbezogene Daten übermittelt.

Empfänger und Auftragsverarbeiter

Wir nutzen eine kleine Zahl vertrauenswürdiger Dienstleister, um Shalotte zu betreiben. Wir verkaufen, vermieten oder tauschen deine personenbezogenen Daten mit niemandem.

Mit allen Auftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO); alle sind DSGVO-konform oder unterliegen angemessenen Garantien für internationale Datenübermittlungen.

Datenspeicherung und Sicherheit

• Deine Daten werden bei Supabase gespeichert (gehostet auf AWS in der EU, Region eu-west-1).
• Alle Daten sind bei der Übertragung (TLS) und im Ruhezustand verschlüsselt.
• Row-Level Security (RLS) ist für jede Tabelle aktiviert – du kannst nur auf deine eigenen Daten zugreifen.
• Passwörter werden von Supabase Auth gehasht (bcrypt). Wir sehen oder speichern niemals Klartext-Passwörter.
• Wir speichern keine Zahlungskartendaten – die gesamte Zahlungsabwicklung übernimmt Stripe direkt.

Deine Rechte nach der DSGVO

Du hast das Recht auf:

• Auskunft (Art. 15 DSGVO) – zu erfahren, welche Daten wir über dich speichern (in den Einstellungen einsehbar oder per E-Mail).
• Berichtigung (Art. 16 DSGVO) – dein Profil, deinen Vorrat und deine Vorlieben jederzeit in der App zu ändern.
• Löschung (Art. 17 DSGVO) – über den Button „Konto löschen“ in den Einstellungen. Damit werden alle deine Daten innerhalb von 24 Stunden dauerhaft aus unseren Systemen entfernt. Backup-Aufbewahrung: Supabase-Backups mit gelöschten Daten laufen innerhalb von 7 Tagen ab.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) – schreib uns, und wir stellen dir eine Kopie bereit.
• Widerspruch (Art. 21 DSGVO) – gegen Verarbeitungen auf Grundlage berechtigter Interessen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) – für optionale Funktionen wie die Spracheingabe genügt es, sie nicht mehr zu nutzen; der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

Um ein Recht auszuüben, schreib an privacy@shalotte.com oder nutze die App-Steuerungen. Wir beantworten alle Anfragen innerhalb der gesetzlichen Frist.

Beschwerderecht: Du hast das Recht, dich bei einer Datenschutzbehörde (Aufsichtsbehörde) zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) Postfach 3163, 65021 Wiesbaden E-Mail: poststelle@datenschutz.hessen.de Web: datenschutz.hessen.de

Du kannst dich auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts wenden.

Cookies und lokaler Speicher

Shalotte verwendet:

• Authentifizierungs-Cookies – um dich angemeldet zu halten (technisch notwendig, keine Einwilligung erforderlich).
• sessionStorage – um Rezepte vorübergehend für sofortiges Laden zwischenzuspeichern (wird beim Schließen des Tabs gelöscht).

Produkt-Analyse-Cookies (PostHog, EU-gehostet) werden NUR gesetzt, wenn du zustimmst – du wirst zuerst gefragt, und das Ablehnen hat dasselbe Gewicht wie das Annehmen. Lehnst du ab, werden keine Analyse-Cookies gesetzt. Wir verwenden keine Werbe-Cookies und keine Tracker Dritter. Kein Google Analytics. Kein Facebook Pixel.

Speicherdauer

• Kontodaten: Aufbewahrt, solange dein Konto aktiv ist. Gelöscht innerhalb von 24 Stunden nach Kontolöschung.
• Sprach-Parse-Protokolle: 90 Tage zur Fehlersuche, danach automatisch gelöscht.
• API-Nutzungsprotokolle: 12 Monate zur Kostenkontrolle, danach gelöscht.
• Produkt-Analyse-Ereignisse (PostHog, EU): 12 Monate, danach von PostHog entfernt. Sie werden ohnehin nur erhoben, wenn du zustimmst.
• Anthropic-API-Protokolle: 7 Tage (von Anthropic verwaltet, nicht von uns).
• Vercel-Server-Protokolle: 30 Tage (von Vercel verwaltet).
• Supabase-Backups: rollierendes 7-Tage-Fenster. Gelöschte Daten fallen innerhalb von 7 Tagen aus den Backups.

Datenschutz von Kindern

Shalotte ist nicht für Kinder unter 16 Jahren bestimmt. Wir erheben wissentlich keine Daten von Personen unter 16 Jahren. Falls du glaubst, dass ein Kind ein Konto erstellt hat, kontaktiere uns bitte – wir löschen es umgehend.

Internationale Datenübermittlung

Deine Konto- und App-Daten selbst bleiben in der EU: Die Supabase-Datenbank liegt in AWS eu-west-1, die Produktanalyse läuft auf der EU-Instanz von PostHog.

Einige unserer Dienstleister sind in den USA ansässig; die an sie übermittelten Daten verlassen damit die EU bzw. den EWR:

• Anthropic: Küchenkontext für die KI-Funktionen.
• OpenAI: Audioaufnahmen, ausschließlich zur Spracherkennung.
• Vercel: Server-Anfragen und Protokolldaten.
• Resend: deine E-Mail-Adresse, für alle Anmelde-, Passwort-Reset- und Lifecycle-E-Mails. Resend wird von der Plus Five Five, Inc. (San Francisco) betrieben. Der Auftragsverarbeitungsvertrag stützt Übermittlungen auf die EU-Standardvertragsklauseln und das UK International Data Transfer Addendum; zusätzlich ist Resend unter dem EU-U.S. Data Privacy Framework samt UK Extension zertifiziert.
• Stripe: Zahlungsabwicklung, sobald die Abo-Abrechnung aktiv ist.
• Cloudflare: DNS-Anfragen und Traffic-Metadaten als vorgelagerte Infrastruktur.

Diese Übermittlungen sind durch Standardvertragsklauseln (SCCs) oder gleichwertige Garantien gemäß Art. 44 ff. DSGVO geschützt.

Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich unsere Datenverarbeitung ändert. Wesentliche Änderungen teilen wir per E-Mail oder über einen Hinweis in der App mit. Das Datum „Zuletzt aktualisiert“ oben gibt stets die aktuelle Fassung an.

Kontakt

Verantwortlicher: Felix Wolf E-Mail (Datenschutz): privacy@shalotte.com Support / allgemeiner Kontakt: hello@shalotte.com

Anbieterangaben: siehe Impressum.