Einkaufszettel English

Datenschutzerklärung

Stand: 26. Oktober 2026

Kurz gesagt

1. Verantwortlich

Dr. Martin Zurmühl
Hurstwiesenweg 5, 69242 Mühlhausen, Deutschland
E-Mail: datenschutz@zurmuehl.info · Telefon: +49 160 90432839

Ich betreibe den Einkaufszettel als Privatperson. Einen Datenschutzbeauftragten gibt es nicht; er ist nicht vorgeschrieben.

2. Dein Konto

Beim Registrieren oder wenn du eine Einladung annimmst, speichere ich deinen Benutzernamen, deinen Namen, deine E-Mail-Adresse, dein Passwort (nur als scrypt-Hash, niemand kann es lesen), deine Rolle im Haushalt (Admin oder Mitglied), den Namen des Haushalts und deine Einstellungen (etwa wie du abhakst, Darstellung, Übersetzungsmodus, welche Listen in „Alles“ stehen, wie du die Ansicht nennst, Reihenfolge deiner Listen). Dazu, welcher Fassung der Nutzungsbedingungen du wann zugestimmt hast.

Wozu: damit du dich anmelden und mit deinem Haushalt Listen führen kannst. Die E-Mail-Adresse brauche ich, damit du dein Passwort selbst zurücksetzen kannst; nie für Werbung. Damit das nur bei dir ankommt, bestätigst du sie mit einem Link, angemeldet mit deinem Konto; bis dahin speichere ich auch eine neue, noch unbestätigte Adresse und wann du eine bestätigt hast. Mails bekommst du nur zu deinem Konto: den Link zum Bestätigen, den Link unter „Passwort vergessen?“ (nur an eine bestätigte Adresse) und einen Hinweis, wenn dein Passwort oder deine Adresse geändert wurde (Abschnitt 6).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Ohne Benutzername, Name, E-Mail-Adresse und Passwort lässt sich kein Konto anlegen.

3. Listen und was darauf steht

Gespeichert werden deine Listen mit allem, was du und die anderen eintragt: Artikel, Mengen, Anmerkungen, Bio und Dringlichkeit, Läden und ihre Reihenfolge, Fotos von Produkten. Dazu, wer etwas eingetragen, abgehakt oder gekauft hat und wann, wer gerade einkauft, ein Verlauf der Änderungen und das Einkaufslog (was bei einem Einkauf gekauft wurde und von wem).

Das sehen alle, die zur Liste gehören: dein Haushalt und Gäste, mit denen ihr die Liste teilt. Gäste aus anderen Haushalten sehen dabei deinen Namen und den Namen deines Haushalts („Anna (Weber)“); bist du selbst Gast, sieht der andere Haushalt deinen.

Fotos verkleinert die App auf deinem Gerät und speichert sie neu; dabei fallen Metadaten wie Ort und Zeit der Aufnahme weg. Bitte fotografiere Produkte, keine Personen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4. Anbindung an Speiseplan und Vorratsbuch

Speiseplan ist eine zweite App, die ich ebenfalls betreibe. Verbindet ein Admin euren Haushalt mit einem Haushalt in Speiseplan, schickt Speiseplan Einkäufe in die Listen, die der Admin dafür freigibt: Artikel mit Mengen, die Gerichte, für die sie gedacht sind, und den Namen der Person, die gesendet hat. Speiseplan erfährt dafür den Namen eures Haushalts, die Namen der freigegebenen Listen und ob auch Gäste sie sehen. Die Verbindung lässt sich in den Einstellungen jederzeit lösen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, auf Wunsch eures Admins. Für Speiseplan gilt dessen eigene Datenschutzerklärung.

Vorratsbuch ist eine weitere App, die ich betreibe; sie führt den Vorrat eines Haushalts. Verbindet ein Admin euren Haushalt mit Vorratsbuch, schreibt Vorratsbuch in die Listen, die der Admin dafür freigibt, was nachzukaufen ist: Artikel mit Mengen, eine Anmerkung und den Namen der Person, die gesendet hat. Außerdem holt Vorratsbuch die abgeschlossenen Einkäufe dieser Listen ab, um sie einzulagern: wann, welche Liste, wer eingekauft hat (der Name, bei Gästen mit ihrem Haushalt) und was (Artikel, Menge, Bio, Abteilung). Abgeholt werden nur Einkäufe ab dem Zeitpunkt der Verbindung. Vorratsbuch erfährt dafür auch den Namen eures Haushalts, die Namen der freigegebenen Listen und ob auch Gäste sie sehen. Die Verbindung lässt sich in den Einstellungen jederzeit lösen; danach holt Vorratsbuch nichts mehr ab.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, auf Wunsch eures Admins; für Einkäufe von Gästen auf einer solchen Liste Art. 6 Abs. 1 lit. f DSGVO (der Haushalt der Liste will seine Einkäufe einlagern), die App sagt es beim Teilen der Liste. Für Vorratsbuch gilt dessen eigene Datenschutzerklärung.

5. Auf deinem Gerät

Das alles ist für den Dienst, den du nutzt, unbedingt erforderlich; dafür braucht es keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Nichts davon dient der Wiedererkennung über andere Seiten hinweg.

6. Server, Sicherung und Dienstleister

Server: Der Einkaufszettel läuft auf einem gemieteten Server der Contabo GmbH, München, in einem Rechenzentrum in der EU. Contabo verarbeitet die Daten in meinem Auftrag (Art. 28 DSGVO).

Was der Server beim Aufruf sieht: Dein Browser schickt bei jeder Anfrage deine IP-Adresse und Angaben über sich mit (etwa Browser und Sprache). Ein Zugriffsprotokoll gibt es nicht.

Beide Protokolle sind auf je 30 MB begrenzt, ältere Einträge fallen heraus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Dienst).

Sicherung: Jede Nacht sichere ich die Datenbank und die Fotos. Die Sicherung wird verschlüsselt, bevor sie den Server verlässt; den Schlüssel habe nur ich. Sie liegt bei Backblaze, Inc., San Mateo, USA, die nur verschlüsselte Daten sieht. Backblaze ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission gilt (Art. 45 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Datenverlust).

Wörterbuch: Um das Wörterbuch zu verbessern, zähle ich, welche Artikelnamen es noch nicht kennt und in wie vielen Haushalten sie vorkommen, ohne Bezug zu Haushalt oder Person. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

E-Mail-Versand: Die Mails zu deinem Konto gehen über ein Google-Mail-Konto (Google Ireland Limited, Dublin): der Link zum Bestätigen deiner Adresse (7 Tage gültig, mit deinem Namen, Benutzernamen und dem Namen des Haushalts), der Link unter „Passwort vergessen?“ (eine Stunde gültig) und die Hinweise „Dein Passwort wurde geändert“ und „Deine E-Mail-Adresse wurde geändert“ (an die bisherige Adresse), jeweils mit deinem Namen und Benutzernamen. Hattest du schon vor dem 26. Oktober 2026 eine Adresse eingetragen, bekommst du den Link zum Bestätigen einmal von selbst. Google erhält dafür deine E-Mail-Adresse und den Inhalt der Mail. Google kann Daten auch in den USA verarbeiten; Google ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission gilt (Art. 45 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Links (du hast die Adresse eingetragen oder den Link angefordert), Art. 6 Abs. 1 lit. f DSGVO für den einmaligen Link und die beiden Hinweise (berechtigtes Interesse, dein Konto zu schützen: So fällt auf, wenn jemand anderes etwas ändert).

Weitere Empfänger gibt es nicht. An Behörden gebe ich Daten nur, wenn ein Gesetz mich dazu verpflichtet.

7. Wie lange

8. Deine Rechte

Du hast das Recht auf

Vieles geht direkt in der App: Name, E-Mail-Adresse und Passwort änderst du unter Einstellungen → Mein Konto; dort lädst du mit „Meine Daten herunterladen“ alles, was zu deinem Konto und deinem Haushalt gespeichert ist, als Datei herunter und löschst dein Konto. Admins löschen unter Einstellungen → Haushalt den ganzen Haushalt. Für alles andere schreib an datenschutz@zurmuehl.info; ich antworte innerhalb eines Monats.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der für mich zuständigen: dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

9. Keine automatisierten Entscheidungen

Der Einkaufszettel sortiert Artikel nach einem Wörterbuch in die Regale. Darüber hinaus gibt es keine automatisierten Entscheidungen und kein Profiling (Art. 22 DSGVO).

10. Änderungen

Kommt etwas Neues hinzu, passe ich diese Erklärung an. Das Datum oben zeigt den Stand.

Impressum · Nutzungsbedingungen