Datenschutzerklärung

Sebastian Auer
Backumer Str. 447
45701 Herten, Deutschland
E-Mail: kontakt@gustofolio.com

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen liegen nicht vor.

Gustofolio erhebt Daten auf zwei Wegen: Du gibst sie selbst ein, oder sie entstehen beim Benutzen der App. Selbst eingegeben werden deine Anmeldedaten — E-Mail-Adresse und Passwort oder dein Google-Konto —, dein Anzeigename, ein Profilbild und alles, was deine Sammlung ausmacht: Weingut, Name, Jahrgang, Rebsorte, Herkunft, Lagerort, Stückzahl, Kaufpreis, Händler, Geschenkgeber, Verkostungsnotizen, Bewertungen und Fotos der Flaschenetiketten.

Beim Benutzen entstehen weitere Daten: welche Flaschen du merkst, einlagerst, öffnest oder austrägst, welche Empfehlung du angetippt oder weggewischt hast, welche Weinkarte du fotografiert und was du darauf gewählt hast, deine Beiträge und Kommentare in der Community, ein Geräte-Token, wenn du Benachrichtigungen einschaltest, und die Temperaturmesswerte, wenn du einen Sensor verbindest. Dazu kommen bei jedem Aufruf der Website die üblichen Server-Protokolle mit IP-Adresse, aufgerufener Adresse, Zeitpunkt und Browserkennung.

Verwendet werden diese Daten, um dir die App bereitzustellen: dein Konto zu führen, deine Sammlung zu verwalten, Etiketten und Weinkarten automatisch auszulesen, dir Flaschen und Speisen vorzuschlagen, Erinnerungen zuzustellen, die Community zu betreiben und Missbrauch abzuwehren. Aus deinen Bewertungen und den oben genannten Handlungen berechnen wir ein Geschmacksprofil und daraus deine Empfehlungen; dafür vergleichen wir dein Profil mit dem anderer Konten. Zu keinem anderen Zweck verwenden wir sie — insbesondere nicht für Werbung und nicht, um sie zu verkaufen.

Die folgende Tabelle nennt dieselben Verarbeitungen noch einmal einzeln, jeweils mit Zweck, Rechtsgrundlage und Speicherdauer. Ohne Konto verarbeiten wir nur die Server-Protokolle.

Was du abschalten kannst. Unter Mehr → Konto → Datenschutz kannst du der Speisebegleitung und dem Lernen aus deinen Handlungen widersprechen und die Sichtbarkeiten ändern. Die zugehörige Funktion steht dir danach nicht mehr zur Verfügung: Ohne Verarbeitung gibt es keinen Vorschlag und keine Empfehlung.

Der Widerspruch gegen die Speisebegleitung wirkt auch auf Noir: Er kann danach nicht mehr in deinen Bestand sehen und weder Flaschen aus deinem Keller noch Vorschläge der Empfehlungsmaschine nennen. Fragen zu Wein, Whisky, Essen und zu Produkten im Kontor beantwortet er weiterhin — dafür braucht er keine Daten aus deiner Sammlung.

Automatisierte Entscheidungen im Sinne des Art. 22 DSGVO treffen wir nicht. Empfehlungen sind Vorschläge ohne rechtliche Wirkung. Die Daten stammen von dir; zur Bereitstellung bist du weder gesetzlich noch vertraglich verpflichtet, ohne sie ist die App aber nicht nutzbar.

Meldest du dich mit Google an, erhalten wir deine Google-Kontokennung, E-Mail-Adresse, deinen Namen und gegebenenfalls dein Profilbild. Wir fordern nur die Berechtigungen openid, email und profile an — keinen Zugriff auf Kontakte, Kalender, Dateien, Gmail oder Standort.

Wir verwenden diese Daten ausschließlich, um dich anzumelden und dein Profil zu führen. Sie liegen bei Firebase Authentication und in unserer Datenbank in europe-west3. Wir geben sie nur an die unten genannten Auftragsverarbeiter weiter — nicht für Werbung, nicht an Datenhändler, nicht an die KI-Dienste. Gelöscht werden sie mit deinem Konto (Mehr → Konto → Datenschutz). Den Zugriff kannst du zusätzlich in deinem Google-Konto entziehen.

Wie wir sie schützen. Die Übertragung zwischen deinem Gerät und unseren Servern ist durchgehend mit TLS verschlüsselt, die Ablage bei Google zusätzlich ruhend. Der Zugriff ist serverseitig durch Regeln auf dein Konto beschränkt, nicht nur durch die Bedienoberfläche. Ein Passwort erhalten wir bei der Google-Anmeldung nicht.

Wofür wir Google-Nutzerdaten ausdrücklich nicht verwenden: nicht für Werbung oder zielgerichtete Werbung, nicht zum Verkauf oder zur Weitergabe an Datenmakler, nicht zum Training von KI-Modellen — weder eigenen noch fremden — und nicht zur Bewertung von Bonität oder Kreditwürdigkeit. Die Verwendung beschränkt sich auf die oben genannten Zwecke, also darauf, dir die Funktionen von Gustofolio bereitzustellen und zu verbessern.

Aufbewahrung und Löschung. Wir behalten diese Daten, solange dein Konto besteht. Löschst du dein Konto unter Mehr → Konto → Datenschutz, werden Google-Kontokennung, E-Mail-Adresse, Name und Profilbild gelöscht. Entziehst du Gustofolio in deinem Google-Konto den Zugriff, ist die Anmeldung über Google nicht mehr möglich; dein Gustofolio-Konto bleibt bestehen, bis du es löschst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Für Freunde ist zunächst nichts freigegeben; fünf Kategorien schaltest du selbst frei: Lieblingsflaschen, Bewertungen, Kommentare zu Verkostungen, Empfehlungen, Wunschliste. Lagerorte, Bestände, Kaufpreise und Geschenkgeber gehen nie an Freunde. Bei „Kommentare zu Verkostungen“ geht deine Notiz im Wortlaut mit.

In der Community sind ab Werk sichtbar: deine Bewertungen für alle angemeldeten Nutzer und deine Geschmacksverwandtschaft zu anderen Konten. Gustofolio legt außerdem bei bestimmten Anlässen selbst einen Beitrag in deinem Namen an. Beides schaltest du unter Mehr → Konto → Datenschutz ab. Dein Anzeigename ist für jede angemeldete Person sichtbar, sobald du in der Community auftauchst.

In einem gemeinsamen Keller sieht jedes Mitglied alles, was dort steht — auch Lagerorte, Kaufpreise und Notizen.

Ein Gastgeber-Link, den du selbst erstellst, ist ohne Konto lesbar. Er zeigt nur, was du für den Abend zusammengestellt hast, und läuft nach 1 bis 30 Tagen ab (Vorgabe 14 Tage); die Adressen der gezeigten Etikettenfotos laufen nicht mit ab. Gäste können Namen, Zu- oder Absage, Personenzahl und eine Nachricht hinterlassen; diese Angaben werden mit dem Aushang gelöscht.

Alle Empfänger sind Auftragsverarbeiter und handeln weisungsgebunden, nicht für eigene Zwecke — mit einer Ausnahme: Google Analytics verarbeitet die Messdaten auch zu eigenen Zwecken, und es läuft ausschließlich mit deiner Einwilligung (siehe „Reichweitenmessung“). Außer den hier genannten binden wir keine weiteren Bausteine Dritter ein — insbesondere kein Absturzberichte-Werkzeug (etwa Firebase Crashlytics oder Sentry), kein Werbenetzwerk mit eigenem Code auf dieser Seite (etwa Google AdMob) und keinen Zahlungsdienst (etwa Stripe oder PayPal). Schriften liegen auf unserem eigenen Server; es wird keine Schriftbibliothek Dritter geladen. Eine Ausnahme sind die Partnerlinks im Bereich Kontor — dazu unten der Abschnitt „Partnerlinks im Kontor“.

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland — Firebase Authentication, Cloud Firestore, Cloud Storage, Cloud Functions, Secret Manager und die tägliche Sicherungskopie (alle europe-west3, Frankfurt), Firebase App Hosting als Webserver (europe-west4), Firebase Cloud Messaging, App Check mit reCAPTCHA Enterprise sowie — nur nach deiner Einwilligung — Google Analytics 4. Grundlage ist das Cloud Data Processing Addendum von Google. Datenschutzerklärung von Google: policies.google.com/privacy.
• Anthropic, PBC, San Francisco, USA — Erkennung von Etiketten und Weinkarten, die beiden Speisen-Vorschläge, das Sortieren von Rückmeldungen aus dem Beta-Knopf sowie die Antworten von Noir, dem KI-Sommelier. Bei Noir wird deine Frage im Wortlaut übermittelt; frage ihn nach deinem eigenen Bestand, gehen zusätzlich Name, Erzeuger, Jahrgang, Art, Herkunft und Rebsorten der betroffenen Flaschen mit. Nicht übermittelt werden Kaufpreise, Kaufdaten, Lagerorte, deine Notizen, deine Bewertungen, dein Name und deine E-Mail-Adresse. Grundlage ist das Data Processing Addendum von Anthropic; die übermittelten Inhalte werden nach dessen Geschäftsbedingungen nicht zum Training verwendet. Datenschutzerklärung von Anthropic: anthropic.com/legal/privacy.
• Dein eigener Home Assistant, falls du ihn verbindest — dorthin geht nur der von dir erzeugte Zugriffstoken.

Die Verarbeitung durch Google findet in der EU statt — mit einer Ausnahme: Bei Google Analytics ist eine Übermittlung in die USA nicht auszuschließen. Sie findet nur statt, wenn du der Reichweitenmessung zugestimmt hast, und ist über die EU-Standardvertragsklauseln sowie die Zertifizierung von Google unter dem EU-US Data Privacy Framework abgesichert. Die KI-Aufrufe gehen an Anthropic in die USA. Abgesichert ist das durch die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, die im Data Processing Addendum von Anthropic einbezogen sind (Art. 46 Abs. 2 lit. c DSGVO). Für die Fotos kommt deine ausdrückliche Einwilligung hinzu (Art. 49 Abs. 1 lit. a DSGVO).

Gustofolio fragt genau eine Berechtigung ab, und nur dann, wenn du die zugehörige Funktion benutzt:

• Kamera — um ein Flaschenetikett, eine Weinkarte oder einen Barcode zu fotografieren. Das Foto wird zur Erkennung übermittelt (siehe Tabelle oben) und bei der Flasche gespeichert. Ohne Kamera kannst du alle Angaben von Hand eintragen.
• Benachrichtigungen — nur, wenn du Erinnerungen einschaltest.

Nicht angefragt und nicht verarbeitet: Standort und GPS, Kontakte, Mikrofon, Kalender, Telefonbuch, die Fotogalerie deines Geräts (du wählst einzelne Bilder selbst aus, wir sehen den Rest nicht) sowie Werbekennungen wie IDFA oder AAID. Die Android-App fordert im Übrigen nur die Berechtigung an, überhaupt ins Internet zu dürfen.

Wir erzeugen und speichern keine Geräte-Kennung zu Wiedererkennungszwecken. Die einzige gerätebezogene Kennung ist der Token für Benachrichtigungen, den du mit dem Abschalten wieder löschst.

Die Verbindung zwischen deinem Gerät und unseren Servern ist durchgehend TLS-verschlüsselt, unverschlüsselte Aufrufe werden abgewiesen; Datenbank und Dateispeicher liegen bei Google zusätzlich ruhend verschlüsselt.

Dein Passwort speichern wir nicht selbst, sondern ausschließlich als Hash-Wert bei Firebase Authentication, aus dem sich das Passwort nicht zurückrechnen lässt. Der Zugriffstoken für deinen Home Assistant liegt nicht in der Datenbank, sondern im Google Secret Manager.

Wer welche Daten lesen und schreiben darf, ist serverseitig in Zugriffsregeln festgelegt und wird bei jeder Anfrage geprüft — nicht erst in der Bedienoberfläche. Ein Missbrauchsschutz (App Check) weist Anfragen ab, die nicht von einer echten Instanz der App stammen. Sicherheitsrelevante Ereignisse werden protokolliert, damit sich unbefugte Zugriffe erkennen und aufklären lassen.

Ohne deine Einwilligung entsteht kein Cookie — weder von uns noch von Dritten. Ein einziges Cookie kommt überhaupt in Frage, und nur wenn du der Reichweitenmessung zustimmst; es kommt dann von Google Analytics und steht im nächsten Abschnitt. Unabhängig davon speichert die App auf deinem Gerät, was für den Betrieb nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG): deine Anmeldesitzung, eine Offline-Kopie deiner Kellerdaten samt Warteschlange für Änderungen ohne Netz, angefangene Eingaben, geöffnete Einladungslinks, den Benachrichtigungs-Token und kleine Bedienzustände. Alles davon verlässt dein Gerät nicht und verschwindet, wenn du die Website-Daten löschst oder die App deinstallierst. App Check greift im angemeldeten Bereich ebenfalls auf den Gerätespeicher zu.

Um zu sehen, welche Bereiche benutzt werden, setzen wir Google Analytics 4 ein (Google Ireland Limited, Mess-Kennung G-HVZ7YKRLBW). Das Skript wird erst nach deiner Zustimmung überhaupt geladen: Bis dahin geht kein einziger Aufruf an Google, es entsteht kein Cookie und es wird nichts von deinem Gerät ausgelesen. Lehnst du ab, funktioniert Gustofolio unverändert weiter — es gibt keinen Bereich, der eine Zustimmung voraussetzt.

Verarbeitet werden dann: aufgerufene Seiten, Zeitpunkte, Herkunftsadresse, eine zufällige Browser-Kennung, technische Geräteangaben und deine gekürzte IP-Adresse. Inhalte deiner Sammlung gehen nicht mit — keine Flaschen, keine Notizen, keine Bewertungen, keine Fotos. Werbefunktionen sind abgeschaltet (keine Google-Signale, keine personalisierte Werbung, keine Weitergabe an Werbenetzwerke). Die Ereignisdaten löscht Google nach 14 Monaten.

Cookies: Nach deiner Zustimmung speichert Google Analytics zwei Cookies auf deinem Gerät — _ga und _ga_HVZ7YKRLBW. Beide enthalten nur eine zufällige Kennung, die deinen Browser wiedererkennt, keinen Namen und keine Adresse. Wir haben ihre Laufzeit auf 13 Monate begrenzt (statt der voreingestellten zwei Jahre). Deine eigene Entscheidung über die Messung liegt dagegen nicht in einem Cookie, sondern im lokalen Speicher deines Browsers, und verlässt dein Gerät nie.

Eine Übermittlung in die USA ist dabei nicht auszuschließen; abgesichert über die EU-Standardvertragsklauseln und die Zertifizierung von Google unter dem EU-US Data Privacy Framework.

Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung. Ändern oder widerrufen kannst du sie jederzeit und mit einem Fingertipp: in der App unter Mehr → Konto → Datenschutz, auf den öffentlichen Seiten über „Cookie-Einstellungen“ in der Fußzeile. Der Widerruf wirkt sofort — das Skript wird nicht mehr geladen, und für die Zukunft werden keine Daten mehr erhoben. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

In der installierten App aus dem Play Store findet keine Reichweitenmessung statt: Sie lädt kein Google-Skript, und der Einwilligungsbanner erscheint dort nicht.

Im Bereich Kontor zeigt Gustofolio Angebote zu Wein, Spirituosen und Zubehör und verweist dafür mit Partnerlinks auf externe Anbieter: auf Amazon sowie, über das Partnernetzwerk Awin, auf mySpirits. Diese Abschnitte sind als Werbung gekennzeichnet.

Zwei der Abschnitte sind auf dich zugeschnitten, der dritte nicht. Welche Flaschen dir empfohlen werden, berechnen wir aus deinem Geschmacksprofil; welches Zubehör, aus deinem Bestand. Das begehbare Sortiment darunter ist dagegen für alle gleich — dort entscheiden nur deine Suche und die gewählte Warengruppe, und über Spirituosen wie Gin, Rum oder Likör trifft Gustofolio überhaupt keine Aussage zu deinem Geschmack. Die Berechnung geschieht auf unserem Server und zu dem Zeitpunkt, zu dem du das Kontor öffnest. An Amazon oder Awin geht dabei nichts — die erfahren weder dein Profil noch deinen Bestand, und sie erfahren auch nicht, dass dir etwas angezeigt wurde. Weiter gegeben wird nichts; es findet keine Profilbildung durch Dritte statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, die Angebote nützlich statt beliebig zu halten und den Betrieb zu finanzieren. Du kannst dem widersprechen (Art. 21 DSGVO): Schaltest du unter Mehr → Konto → Datenschutz das Lernen aus deinen Handlungen ab, fliessen deine Handlungen nicht mehr ein (deine Bewertungen weiterhin schon). Für einen weitergehenden Widerspruch genügt eine formlose Nachricht an kontakt@gustofolio.com.

Tippst du einen solchen Link an, öffnet dein eigener Browser die Seite des Anbieters — du verlässt Gustofolio. Der Link trägt eine Kennung, die den Besuch als von Gustofolio kommend ausweist: bei Amazon einen Partner-Tag, bei Awin eine Publisher- und eine Produktkennung. Deine Person steht darin nicht, und Gustofolio ruft dabei serverseitig nichts bei Amazon oder Awin ab.

Auf der Seite des Anbieters setzen Amazon beziehungsweise Awin ein eigenes Cookie und ordnen einen daraus entstehenden Kauf diesem Link zu. Diese Verarbeitung liegt bei Amazon beziehungsweise Awin nach deren eigenen Datenschutzerklärungen; Gustofolio hat darauf keinen Einfluss und erhält zurück nur zusammengefasste Abrechnungsdaten (Anzahl und Höhe vergüteter Käufe) — keine personenbezogenen Daten der kaufenden Person.

Datenschutzerklärung von Amazon: amazon.de/…/Datenschutzerklärung. Datenschutzerklärung von Awin: awin.com/gb/privacy.

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17)
• Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20)
• Widerspruch gegen die auf Art. 6 Abs. 1 lit. f gestützten Verarbeitungen (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3), für die Foto-Erkennung unter Mehr → Konto → Datenschutz

Auskunft, Übertragbarkeit und Löschung übst du selbst aus: Unter Mehr → Konto → Datenschutz stehen Datenexport und Konto-Löschung. Für alles Übrige genügt eine formlose Nachricht an kontakt@gustofolio.com; wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Bei der Löschung bleibt zweierlei bestehen: die Einträge des Sicherheitsprotokolls bis zum Ablauf ihrer 400-Tage-Frist (nur Nutzerkennung, keine Namen) und — in Kellern anderer Menschen — deine Bestandsbewegungen, Verkostungen und Merklisteneinträge mit deiner Kennung, weil sie zum Inhalt dieser fremden Keller gehören. Bist du Eigentümer eines Kellers mit weiteren Mitgliedern, können wir erst löschen, wenn du ihn übergeben oder die anderen entfernt hast (Art. 17 Abs. 3 DSGVO).

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
poststelle@ldi.nrw.de · https://www.ldi.nrw.de

Du kannst dich ebenso an die Behörde deines Wohnorts oder Arbeitsplatzes wenden.

Ändert sich etwas an der Einwilligung, um die wir dich bei der Registrierung bitten, erhöhen wir die Versionsnummer oben und fragen dich beim nächsten Öffnen erneut. Die aktuelle Fassung steht immer unter dieser Adresse.