Datenschutzerklärung

Stand: 11. September 2026

Kurz gesagt: Snackofatz ist dein Snack-Tagebuch. Es gibt keine Werbung, kein Tracking und keine Analyse-Dienste. Deine Daten liegen auf Servern in Deutschland. Nach außen gehen sie nur, wenn es für eine Funktion nötig ist: Push-Benachrichtigungen über Google und E-Mails über einen Versanddienst. Alles Weitere steht unten.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen.

2. Hosting

Website, Programmierschnittstelle (API), Datenbank und Fotospeicher von Snackofatz laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Falkenstein (Deutschland). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Hetzner verarbeitet die Daten ausschließlich in Deutschland.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb des Angebots.

3. Website (snackofatz.app)

Server-Protokolle

Beim Aufruf einer Seite speichert der Webserver automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge sowie Browser und Betriebssystem (User-Agent). Diese Protokolle dienen dem Erkennen von Störungen und Angriffen und werden nach spätestens 14 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Keine Cookies, kein Tracking

Die Website setzt keine Cookies, nutzt keine Analyse- oder Werbedienste und bindet keine Inhalte von Drittanbietern ein. Die Schriften werden von unserem eigenen Server ausgeliefert, nicht von Google Fonts.

Einladungsseiten

Einladungslinks (snackofatz.app/invite/…) zeigen den Benutzernamen und das Profilbild der Person, die dich eingeladen hat. Dafür fragt die Seite den Einladungslink bei unserer API ab. Die Anzahl solcher Abfragen wird pro IP-Adresse kurzzeitig im Arbeitsspeicher gezählt, um Missbrauch zu verhindern; gespeichert wird die IP-Adresse dabei nicht dauerhaft. Öffnest du den Link ohne installierte App, führt der Button zu Google Play; die Einladungskennung wird dabei an Google Play übergeben, damit die App sie nach der Installation wiederfindet (siehe Abschnitt 6). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

4. Die App: Konto

Für die Nutzung der App brauchst du ein Konto. Dabei verarbeite ich:

• Benutzername – für Freundinnen und Freunde sichtbar.
• E-Mail-Adresse – zum Anmelden, für Bestätigungscodes und zum Zurücksetzen des Passworts. Sie ist für andere nicht sichtbar.
• Passwort – nur als gesalzener Hash (Argon2id) gespeichert; das Passwort selbst kann ich nicht einsehen.
• Profilbild (optional), Sprache und deine Benachrichtigungseinstellungen.
• Zeitpunkt der Registrierung und der E-Mail-Bestätigung.

Zur Bestätigung deiner E-Mail-Adresse, bei einer Adressänderung und beim Zurücksetzen des Passworts sende ich dir einen zeitlich begrenzten Code per E-Mail (Abschnitt 8). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung der App).

Anmeldung und Sitzungen

Nach der Anmeldung erhält dein Gerät ein Zugriffstoken (gültig 1 Stunde) und ein Erneuerungstoken (gültig 30 Tage). Auf dem Server liegen davon nur Hashes. Beim Abmelden werden die Tokens ungültig. Anmeldeversuche werden pro IP-Adresse und pro Konto kurzzeitig gezählt, um Passwort-Rateangriffe zu bremsen; diese Zähler liegen nur im Arbeitsspeicher. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

5. Die App: Snack-Tagebuch

Der Kern der App sind deine Einträge. Zu jedem Eintrag speichere ich:

• das Foto (optional, wenn der Snack schon bekannt ist) – beim Hochladen wird das Bild neu kodiert, dabei werden alle Metadaten einschließlich GPS-Standort entfernt; gespeichert werden Original und Vorschaubild;
• den Snack (Name, Marke, gegebenenfalls Barcode) sowie optional die Bewertung (1–10), Schlagworte, eine Notiz und den Ort oder Laden als Freitext;
• Zeitpunkt des Eintrags und die Sichtbarkeit („Freunde“ oder „privat“).

Einträge sind standardmäßig für deine bestätigten Freundinnen und Freunde sichtbar. Jeden Eintrag kannst du einzeln auf „privat“ stellen; dann sieht ihn nur du. Solange du keine Freunde hinzugefügt hast, sieht niemand deine Einträge. Personen, mit denen du nicht befreundet bist, sehen nie deine Einträge, sondern nur zusammengefasste Werte eines Snacks (Durchschnitt und Anzahl der Bewertungen), aus denen sich kein Rückschluss auf dich ziehen lässt.

Legst du einen Snack neu in der Datenbank an, wird das Snack-Objekt (Name, Marke, Barcode, Ort) mit einem Verweis auf dein Konto gespeichert. Der Snack bleibt nach einer Kontolöschung anonymisiert erhalten (Abschnitt 11), weil andere ihn in ihren Tagebüchern verwenden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Barcode-Suche mit Open Food Facts

Scannst du einen Barcode, sucht mein Server den Code in unserer eigenen Datenbank und, falls nötig, bei der freien Produktdatenbank Open Food Facts. Dabei wird ausschließlich die Barcode-Nummer übermittelt – keine Kontodaten, kein Standort, keine Geräteinformationen; die Anfrage stellt der Server, nicht dein Gerät. Antworten werden auf unserem Server zwischengespeichert.

6. Die App: Freunde, Einladungen, Blockieren, Melden

• Freundschaften werden mit Status (angefragt, angenommen) und Zeitpunkt gespeichert. Du kannst Anfragen zurückziehen und Freundschaften jederzeit beenden.
• Einladungslinks und QR-Codes enthalten eine zufällige Kennung, die auf dein Konto verweist, damit die andere Person dich findet. Kennungen laufen automatisch ab; alle geteilten Links kannst du in den Einstellungen widerrufen.
• Install-Referrer: Installierst du die App über einen Einladungslink aus Google Play, liest die App beim ersten Start einmalig den von Google Play bereitgestellten Install-Referrer aus (Google Play Install Referrer API), um die Einladungskennung wiederzufinden. Andere Daten werden dabei nicht ausgelesen.
• Reaktionen (Emoji) auf Einträge von Freundinnen und Freunden werden mit deinem Konto verknüpft gespeichert.
• Blockierungen werden gespeichert, damit blockierte Personen dir keine Anfragen schicken können und ihr euch gegenseitig nicht seht. Die blockierte Person wird nicht informiert.
• Meldungen von Einträgen oder Profilen speichere ich mit meldender Person, gemeldetem Objekt, Grund und optionaler Anmerkung, um sie zu prüfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Blockierungen und Meldungen zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Schutz der Nutzerinnen und Nutzer).

7. Push-Benachrichtigungen (Firebase Cloud Messaging)

Auf Wunsch benachrichtigt dich die App über Freundschaftsanfragen, angenommene Anfragen, Reaktionen auf deine Einträge und (nur wenn du es einschaltest) darüber, dass eine Freundin oder ein Freund gerade einen Snack probiert. Dafür nutze ich Firebase Cloud Messaging der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, USA).

• Dein Gerät erhält von Firebase eine Geräte-Kennung (Token), die die App an meinen Server übermittelt und die dort deinem Konto zugeordnet gespeichert wird.
• Der Inhalt jeder Benachrichtigung (etwa der Benutzername der Person und der Name des Snacks) wird über die Server von Google an dein Gerät zugestellt. Google kann diese Inhalte technisch einsehen.
• Die Zustellung kann eine Übermittlung in die USA einschließen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission); ergänzend gelten die Standardvertragsklauseln der EU.

Push-Benachrichtigungen erhältst du nur, wenn du der App die Berechtigung dafür erteilt hast; jede Benachrichtigungsart kannst du in den Einstellungen einzeln abschalten. Beim Abmelden oder beim Abschalten wird das Token auf meinem Server gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Systemberechtigung), widerrufbar in den Systemeinstellungen deines Geräts.

8. E-Mail-Versand

Bestätigungscodes, Hinweise zur Adressänderung und Links zum Zurücksetzen des Passworts versende ich über den Versanddienst Lettermint (Niederlande, Verarbeitung in der EU). Dabei werden deine E-Mail-Adresse, der Inhalt der Nachricht und der Zeitpunkt des Versands verarbeitet; mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung. Werbung oder Newsletter verschicke ich nicht.

E-Mails, die du an hi@snackofatz.app schickst, speichere ich, solange es zur Bearbeitung deines Anliegens nötig ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Empfänger und Übermittlung in Drittländer

Eine weitere Weitergabe deiner Daten findet nicht statt, es sei denn, ich bin gesetzlich dazu verpflichtet.

10. Speicherdauer

• Konto und Einträge: bis du dein Konto löschst.
• Bestätigungscodes, Einladungskennungen, QR-Codes: bis zum Ablauf (Minuten bis wenige Tage), danach automatisch gelöscht.
• Anmelde-Tokens: bis zum Ablauf (Zugriff 1 Stunde, Erneuerung 30 Tage) oder bis zur Abmeldung.
• Push-Token: bis zur Abmeldung oder zum Abschalten der Benachrichtigungen.
• Server-Protokolle: spätestens 14 Tage.
• Datenbank-Sicherungen: verschlüsselt, werden turnusmäßig überschrieben; gelöschte Daten verschwinden daraus spätestens nach 30 Tagen.

11. Datenexport und Kontolöschung

In der App unter Profil → Einstellungen → Privatsphäre & Daten findest du:

• Meine Daten exportieren: eine ZIP-Datei mit deinem Profil, allen Einträgen, Reaktionen, Freundschaften, Blockierungen und Meldungen als JSON sowie allen Fotos in Originalgröße (Art. 20 DSGVO).
• Mein Konto löschen: nach Bestätigung mit deinem Passwort werden Konto, Einträge, Fotos, Reaktionen, Freundschaften, Blockierungen, Meldungen, Tokens und Push-Registrierungen sofort und endgültig gelöscht. Von dir angelegte Snacks bleiben ohne Verweis auf dich in der Datenbank; die Durchschnittswerte werden ohne deine Bewertungen neu berechnet.

Beides geht auch per E-Mail an hi@snackofatz.app. Eine Anleitung steht unter Konto löschen.

12. Deine Rechte

Du hast gegenüber mir das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib dazu einfach an hi@snackofatz.app.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für mich zuständigen Landesbeauftragten für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

13. Mindestalter

Snackofatz richtet sich an Personen ab 16 Jahren. Wer jünger ist, darf kein Konto anlegen. Erfahre ich von einem Konto einer jüngeren Person, lösche ich es.

14. Keine automatisierten Entscheidungen

Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt. Der Snack-Durchschnitt ist eine schlichte Rechenoperation über die abgegebenen Bewertungen.

15. Änderungen

Ich passe diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du unter snackofatz.app/datenschutz; das Datum oben zeigt den Stand.