Datenschutzerklärung

Stand: 14. Oktober 2026 · Version 1.1

Diese Datenschutzerklärung gilt für die iOS-App „Caffeine – Koffein-Tracker“ (für iPhone und iPad, im Folgenden „App“) und für die Web-App unter caffeine.louitz.de (im Folgenden „Web-App“). Sie erklärt, welche Daten wir verarbeiten, wie wir sie erhalten, wofür wir sie verwenden, an wen sie gehen, wie lange wir sie speichern und welche Rechte du hast.

Kurz gesagt: Caffeine enthält keine Werbung, keine Analyse- oder Tracking-Werkzeuge und keine Drittanbieter-SDKs außer Supabase für Anmeldung und Datenbank. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

[VOR- UND NACHNAME] [ANSCHRIFT] E-Mail: apps@louitz.de

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind. [prüfen: Pflicht nach Art. 37 DSGVO / § 38 BDSG für den Betrieb durch eine Privatperson bewerten – u. a. weil Gesundheitsdaten verarbeitet werden; nach Gründung der Firma erneut prüfen.] Für alle Fragen zum Datenschutz erreichst du uns unter apps@louitz.de.

2. Zwei Arten, Caffeine zu nutzen

Gastmodus (nur App). Du nutzt die App ohne Konto. Alle Einträge, eigenen Getränke und Einstellungen bleiben ausschließlich auf deinem Gerät und werden nicht an uns oder an Dritte übertragen. Wir haben keinen Zugriff darauf. Wenn du die App löschst, werden diese Daten mitgelöscht.

Konto. Du legst ein Konto mit E-Mail-Adresse und Passwort an. Deine Einträge werden dann in unserer Datenbank bei Supabase gespeichert, damit du sie auf mehreren Geräten und in der Web-App sehen kannst. Die Web-App ist nur mit Konto nutzbar.

3. Welche Daten wir verarbeiten

3.1 Daten im Konto

Wenn du ein Konto hast, speichern wir:

• E-Mail-Adresse – für Anmeldung, Bestätigung der Adresse und ggf. das Zurücksetzen des Passworts.
• Passwort – nur als Hash (kryptografischer Prüfwert) bei Supabase Auth; das Passwort selbst wird nicht im Klartext gespeichert.
• Nutzerkennung (User-ID) – eine zufällige ID, die deine Daten deinem Konto zuordnet.
• Koffein-Einträge – Getränkename, Menge in ml, Koffeinmenge in mg, Zeitpunkt.
• Eigene Getränke – Name, Symbol, Koffein pro 100 ml, Standardmenge in ml.
• Einstellungen – Tageslimit, Reihenfolge deiner Getränke, Sprache, eine Zeitzonen-Einstellung (derzeit fest auf Europe/Berlin voreingestellt).
• Sitzungs- und Verbindungsdaten – Supabase Auth verwaltet Anmeldesitzungen (Zugriffs- und Auffrischungstoken) und protokolliert technische Daten wie Zeitpunkt, IP-Adresse und Geräte- bzw. Browserkennung (User-Agent), um den Dienst sicher zu betreiben. [prüfen: Umfang und Aufbewahrung der Supabase-Protokolle im gebuchten Tarif.]

Wir erhalten diese Daten direkt von dir, wenn du sie in der App oder der Web-App eingibst.

3.2 Daten nur auf deinem Gerät (in beiden Modi)

Folgende Daten verlassen dein Gerät nie, auch nicht mit Konto:

• Einstellungen für Erinnerungen, einschließlich Schlafenszeit und Schlafgrenze,
• die in der App gewählte Sprache (bei Konto wird die Sprache zusätzlich wie oben beschrieben im Konto gespeichert, damit App und Web-App übereinstimmen),
• die Daten, die Widgets, die Steuerung im Kontrollzentrum und Siri anzeigen (ein Zwischenstand deines Pegels und deiner Getränke, in einem geschützten Bereich deines Geräts),
• im Gastmodus: alle Einträge, eigenen Getränke und Einstellungen.

Die Anmeldesitzung speichert die App im Schlüsselbund (Keychain) deines Geräts.

Erinnerungen sind lokale Mitteilungen, die die App selbst auf deinem Gerät plant. Es gibt keinen Push-Server; wir senden dir keine Mitteilungen und erfahren nicht, ob du sie erhältst.

3.3 Web-App: Server-Protokolle und Cookies

Beim Aufruf der Web-App verarbeitet unser Hosting-Anbieter Vercel technisch notwendige Anfragedaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung (User-Agent) und die bevorzugte Sprache des Browsers (Accept-Language-Header). Die Sprache nutzen wir nur, um dir die Seite in deiner Sprache anzuzeigen, wenn du angemeldet keine andere gewählt hast.

Die Web-App setzt nur technisch notwendige Cookies: die Anmelde-Cookies von Supabase (Name beginnt mit sb-), die deine Sitzung halten. Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), da sie für den von dir gewünschten Dienst unbedingt erforderlich sind. Ein Cookie-Banner ist dafür nicht nötig. Die Web-App kann als Progressive Web App Programmdateien (Seiten, Bilder, Skripte) im Speicher deines Browsers ablegen, damit sie schneller lädt; darin liegen keine personenbezogenen Daten.

3.4 Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dein Anliegen zu beantworten.

4. Zwecke und Rechtsgrundlagen

Warum eine Einwilligung für die Einträge? Aus deinen Koffein-Einträgen lassen sich unter Umständen Rückschlüsse auf deine Gesundheit ziehen. Wir behandeln sie deshalb vorsorglich als Gesundheitsdaten im Sinne von Art. 9 DSGVO. Bevor Einträge in deinem Konto gespeichert werden, fragen wir dich ausdrücklich: bei der Registrierung und bevor Einträge aus dem Gastmodus in ein Konto übernommen werden. Die Einwilligung lautet:

„Ich willige ein, dass meine Koffein-Einträge zur Nutzung der App in meinem Konto gespeichert werden.“

Die Einwilligung ist freiwillig. Ohne sie kannst du die App im Gastmodus vollständig nutzen; die Daten bleiben dann auf deinem Gerät.

Die Berechnungen (aktueller Pegel, Tagessumme, „Letzter Kaffee bis …“, Erinnerungen) laufen auf deinem Gerät bzw. in deinem Browser auf Grundlage deiner Einträge. Es findet keine automatisierte Entscheidungsfindung oder Profilbildung im Sinne von Art. 22 DSGVO statt.

5. Empfänger und Auftragsverarbeiter

Wir geben deine Daten nur an Dienstleister weiter, die wir zum Betrieb brauchen und mit denen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen haben. Sie dürfen die Daten nur nach unserer Weisung und zu keinen eigenen Zwecken verwenden, und sie müssen ein Schutzniveau gewährleisten, das dem dieser Datenschutzerklärung entspricht.

• Supabase (Supabase Inc., USA; Vertragspartner und Datenimporteur laut Auftragsverarbeitungsvertrag ist Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513) [prüfen: Vertragspartner und Anschrift im aktuell gültigen Supabase-DPA] – Datenbank und Anmeldung (Auth). Unser Projekt liegt in der Region eu-west-1 (Irland); die Daten werden dort gespeichert. Supabase versendet außerdem die E-Mails zur Bestätigung der Adresse und zum Zurücksetzen des Passworts. [prüfen: Auftragsverarbeitungsvertrag (DPA) mit Supabase abgeschlossen bzw. gegengezeichnet?]
• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – Hosting der Web-App. Die Server-Funktionen der Web-App laufen in der Region Dublin (Irland). Vercel verarbeitet dabei Anfragedaten einschließlich IP-Adressen; Inhalte können über das weltweite Netz von Vercel ausgeliefert werden. [prüfen: Der Vercel-DPA gilt laut seinem Abschnitt 1 nur für Pro- und Enterprise-Kunden – Tarif und DPA bestätigen.]
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Firebase App Distribution) – Für die Verteilung der Android-Testversion nutzen wir Firebase App Distribution. Vertragspartner für Entwickler mit Sitz bzw. Wohnsitz in Europa ist laut den Nutzungsbedingungen von Firebase Crashlytics und App Distribution Google Ireland Limited; Google verarbeitet die Daten als Auftragsverarbeiter nach den Firebase-Datenverarbeitungs- und Sicherheitsbedingungen, die für App Distribution gelten. Dabei verarbeitet Google Name und E-Mail-Adresse der eingeladenen Tester sowie Geräteinformationen bei der Installation. Das betrifft nur eingeladene Android-Tester, nicht Nutzer der iOS-App oder der Web-App. [prüfen: Wortlaut und Rechtsgrundlage (Art. 6 Abs. 1 lit. b oder f DSGVO) für die Tester; Annahme der Firebase-Datenverarbeitungsbedingungen in der Firebase-Konsole bestätigen.]
• Apple – Wir vertreiben die App über den App Store von Apple. Für Download, Updates und ggf. Absturzberichte, denen du in den iOS-Einstellungen zugestimmt hast, ist Apple selbst verantwortlich; es gilt die Datenschutzrichtlinie von Apple. Widgets, die Steuerung im Kontrollzentrum, Siri-Kurzbefehle und Erinnerungen laufen auf deinem Gerät; dabei übermittelt die App keine Daten an uns.

Übermittlung in Drittländer. Supabase und Vercel sind Unternehmen mit Sitz außerhalb der EU (USA bzw. Singapur); bei Firebase App Distribution (nur eingeladene Android-Tester) kann Google LLC (USA) als weiterer Empfänger beteiligt sein. Auch wenn die Daten in Irland gespeichert werden, ist ein Zugriff aus einem Drittland nicht auszuschließen (z. B. für Support oder Wartung). Grundlage solcher Übermittlungen sind die Standardvertragsklauseln der EU-Kommission (Beschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der Auftragsverarbeitungsverträge mit Supabase und Vercel sind; bei Google sehen die Firebase-Datenverarbeitungs- und Sicherheitsbedingungen (Abschnitt 10) für Übermittlungen aus Europa ebenfalls Standardvertragsklauseln vor, soweit keine andere anerkannte Übermittlungsgrundlage greift, und für Übermittlungen an zertifizierte Google-Gesellschaften in den USA das EU-U.S. Data Privacy Framework. [prüfen: aktuelle DPF-Zertifizierung von Google LLC unter dataprivacyframework.gov.] Soweit ein Anbieter zusätzlich unter dem EU-U.S. Data Privacy Framework zertifiziert ist, stützt sich eine Übermittlung in die USA außerdem auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). [prüfen: DPF-Zertifizierung von Supabase und Vercel unter dataprivacyframework.gov – die DPAs selbst erwähnen das DPF nicht.]

Behörden geben wir Daten nur heraus, wenn wir gesetzlich dazu verpflichtet sind.

6. Speicherdauer und Löschung

• Kontodaten speichern wir, solange dein Konto besteht.
• Konto löschen: In der App unter „Konto“ → „Konto löschen“ und in der Web-App unter „Konto“ (/account) → „Konto löschen“. Damit werden dein Konto und alle zugehörigen Daten – Einträge, eigene Getränke, Einstellungen, Anmeldesitzungen – sofort und endgültig in einem einzigen Datenbankvorgang gelöscht. Eine Wiederherstellung ist nicht möglich.
• Sicherungskopien: Supabase erstellt Sicherungskopien der Datenbank. Darin können gelöschte Daten noch für einen begrenzten Zeitraum enthalten sein, bis die Sicherung turnusmäßig überschrieben wird. [prüfen: Aufbewahrungsdauer der Backups im gebuchten Supabase-Tarif, z. B. 7 Tage im Pro-Tarif.] Wir spielen Sicherungen nur zur Wiederherstellung nach einem Ausfall zurück.
• Server- und Sitzungsprotokolle bei Supabase und Vercel werden nach kurzer Zeit automatisch gelöscht. [prüfen: Aufbewahrungsdauer der Protokolle in den gebuchten Tarifen.]
• Daten auf dem Gerät (Gastmodus, Erinnerungen, Widgets) löschst du, indem du die App löschst.
• E-Mail-Anfragen löschen wir, wenn sie erledigt sind, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Einwilligung widerrufen

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Am einfachsten löschst du dazu dein Konto (siehe Abschnitt 6) – damit sind alle im Konto gespeicherten Einträge sofort gelöscht. Du kannst den Widerruf auch per E-Mail an apps@louitz.de erklären; wir löschen dann dein Konto samt Daten. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Die App kannst du danach weiter im Gastmodus nutzen.

8. Deine Rechte

Du hast das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Schreib uns dazu einfach an apps@louitz.de.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts oder Arbeitsplatzes. Für uns zuständig ist [prüfen: Landesdatenschutzbehörde am Wohnsitz des Verantwortlichen (nach Gründung: am Sitz der Firma), z. B. „Der/Die Landesbeauftragte für Datenschutz … “ mit Anschrift]. In Österreich ist die Datenschutzbehörde (dsb.gv.at) zuständig.

9. Hinweise für Nutzerinnen und Nutzer in der Schweiz

Für Personen in der Schweiz gilt zusätzlich das Bundesgesetz über den Datenschutz (DSG, in Kraft seit 1. September 2023). Die in dieser Erklärung beschriebenen Verarbeitungen, Empfänger und Rechte gelten entsprechend; die Rechte auf Auskunft (Art. 25 DSG), Berichtigung und Löschung (Art. 32 DSG) sowie Herausgabe oder Übertragung deiner Daten (Art. 28 DSG) kannst du über apps@louitz.de geltend machen. Gesundheitsdaten sind nach Art. 5 lit. c DSG besonders schützenswert; wir bearbeiten sie nur mit deiner ausdrücklichen Einwilligung (Art. 6 Abs. 7 DSG). Daten werden in Irland (EU) gespeichert; die EU ist von der Schweiz als Staat mit angemessenem Datenschutz anerkannt. Für Übermittlungen in Drittländer gelten die Standardvertragsklauseln mit den Schweizer Anpassungen in den Auftragsverarbeitungsverträgen, für die USA zusätzlich das Swiss-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist. Zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB, edoeb.admin.ch). [prüfen: ob ein Vertreter in der Schweiz nach Art. 14 DSG benannt werden muss.]

10. Kinder und Jugendliche

Caffeine richtet sich an Erwachsene und ist nicht für Kinder und Jugendliche bestimmt. Wir erheben wissentlich keine Daten von Kindern.

11. Datensicherheit

Alle Verbindungen zwischen App, Web-App und Servern sind per TLS verschlüsselt. In der Datenbank sorgt eine Zugriffskontrolle auf Zeilenebene (Row Level Security) dafür, dass jedes Konto nur seine eigenen Daten lesen und ändern kann. Passwörter werden nur als Hash gespeichert.

12. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du unter caffeine.louitz.de/datenschutz und in der App. Bei wesentlichen Änderungen, etwa neuen Zwecken, informieren wir dich in der App und holen, wo nötig, eine neue Einwilligung ein.