Datenschutzerklärung

1. Wer verantwortlich ist (der Verantwortliche)

Verantwortlicher für die hier beschriebenen personenbezogenen Daten ist willithurt.me, betrieben von Scott Agirs, Riga, Lettland. Kontakt für alles rund um den Datenschutz: privacy@willithurt.me.

Wir sind ein kleiner, unabhängiger Dienst und nicht verpflichtet, einen Datenschutzbeauftragten zu benennen; die obige Adresse erreicht die verantwortliche Person direkt.

2. Welche Daten wir erheben

Wir erheben nur, was der Dienst zum Funktionieren braucht. Je nachdem, wie du willithurt.me nutzt, ist das:

• Kontodaten — wenn du dich anmeldest: deine E-Mail-Adresse, ein optionaler Anzeigename, deine bevorzugte Sprache und dein Land sowie die verwendete Anmeldemethode (Magic Link per E-Mail oder Google). Von Google werden nur deine E-Mail-Adresse und dein Name übernommen, nichts weiter.
• Anonyme Sitzungskennung — bevor du dich anmeldest, legen wir ein zufälliges anonymes Konto an, damit dein Scan-Verlauf auf demselben Gerät erhalten bleibt. Es enthält weder Name noch E-Mail. Wenn du dich später anmeldest, wird der anonyme Verlauf in dein Konto übernommen.
• Scan-Verlauf — die Barcodes, die du nachschlägst, wann, Land und Sprache der Anfrage und das Produkt, zu dem sie geführt haben. Das ist die Grundlage deiner Verlaufsseite.
• Beiträge — wenn du ein Produkt hinzufügst oder korrigierst: die Fotos, die du hochlädst (Barcode, Vorderseite der Verpackung, Zutatenetikett), der Text, den du eingibst, und die Tatsache, dass der Beitrag von deinem Konto stammt. Fotos sollten nur die Verpackung zeigen; bitte keine Personen, Kassenbons oder etwas Persönliches darauf.
• Meldungen — wenn du ein Problem meldest: der Grund und die Details, die du angibst, eine optionale Kontakt-E-Mail, deine Kontokennung (auch anonyme) und ein Einweg-Hash deiner IP-Adresse, der nur zur Missbrauchsbegrenzung dient.
• Technische Logs — übliche Server-Logs (Anfragepfad, Zeitstempel, User-Agent, Antwortstatus), wobei die IP-Adresse nur als gesalzener Einweg-Hash gespeichert wird, zur Sicherheit und Ratenbegrenzung. Aus diesen Logs erstellen wir keine Profile.
• KI-Verarbeitungsdaten — die Etikettfotos und Zutatentexte, die du einreichst, werden an einen KI-Anbieter geschickt, um das Etikett auszulesen und die Analyse zu erstellen (siehe Abschnitt 5). Der Text der Analyse wird beim Produkt gespeichert, nicht bei dir.

Wir erheben keine Zahlungsdaten, keinen genauen Standort, keine Kontakte und keine Gerätekennungen, und wir verwenden keinerlei Werbe-IDs.

3. Wofür wir sie nutzen, und auf welcher Rechtsgrundlage

Nach der DSGVO braucht jede Nutzung personenbezogener Daten eine Rechtsgrundlage. Unsere sind:

• Bereitstellung des Dienstes, den du angefordert hast (Art. 6 Abs. 1 lit. b DSGVO — Vertrag): Anlegen und Verwalten deines Kontos, Anzeigen deines Scan-Verlaufs, Speichern und Anzeigen deiner Beiträge, Beantworten deiner Meldungen.
• Unsere berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO): den Dienst sicher und frei von Missbrauch halten (Ratenbegrenzung, gehashte IP-Logs, Audit-Logs von Moderationsaktionen), die Produktdatenbank und Analysen durch Community-Beiträge verbessern und die aggregierte, cookielose Nutzung verstehen. Wir haben diese Interessen gegen deine abgewogen und halten die Auswirkungen auf dich für minimal; du kannst jederzeit widersprechen (Abschnitt 9).
• Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): optionale Funktionen, die aus sind, bis du sie einschaltest — zum Beispiel die Anmeldung mit Google oder die Angabe einer Kontakt-E-Mail bei einer Meldung. Du kannst die Einwilligung jederzeit widerrufen; die bis dahin erfolgte Verarbeitung bleibt davon unberührt.
• Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO): Aufzeichnungen über Moderationsentscheidungen und Meldungen, wie sie das EU-Gesetz über digitale Dienste verlangt, und die Beantwortung rechtmäßiger Anfragen von Behörden.

4. Cookies und lokaler Speicher

willithurt.me verwendet nur unbedingt erforderliche Cookies: ein Sitzungs-Cookie, das dich angemeldet hält (auch in der anonymen Sitzung), und ein kurzlebiges Cookie, das Anmeldeformulare schützt. Sie sind für den Betrieb der Seite nötig und brauchen nach den ePrivacy-Regeln kein Einwilligungsbanner.

Wir verwenden keine Tracking-, Werbe- oder seitenübergreifenden Cookies. Aggregierte Nutzungsstatistiken erheben wir mit Vercel Analytics, das ohne Cookies arbeitet und einzelne Besucher nicht identifiziert.

Dein Browser kann außerdem eine Kopie der App (einen „Service Worker“) und deine Sprachwahl lokal speichern, damit die Seite offline lädt. Diese Daten verlassen dein Gerät nie, und du kannst sie in den Browsereinstellungen löschen.

5. Mit wem wir Daten teilen (Auftragsverarbeiter)

Wir verkaufen keine personenbezogenen Daten und geben sie nicht an Werbetreibende weiter. Für den Betrieb des Dienstes stützen wir uns auf wenige Anbieter, die Daten in unserem Auftrag auf Grundlage schriftlicher Auftragsverarbeitungsverträge verarbeiten:

• Vercel Inc. — Hosting, Edge-Netzwerk und cookielose Analytik. Server in der EU, wo verfügbar; einige Edge-Standorte können außerhalb der EU liegen (siehe Abschnitt 8).
• Neon Inc. — die Postgres-Datenbank, in der Konten, Scan-Verlauf, Beiträge und Meldungen gespeichert sind. Region: EU (Frankfurt, Deutschland).
• Cloudflare Inc. (R2) — Speicherung hochgeladener Produktfotos. Region: EU.
• Anthropic PBC — KI-Verarbeitung von Fotos und Texten von Zutatenetiketten, um das Etikett auszulesen und die Analyse zu erstellen. Anthropic verwendet Daten, die über seine API gesendet werden, nicht zum Trainieren seiner Modelle. Fotos werden nur zur Verarbeitung gesendet und von Anthropic nicht länger aufbewahrt, als für die Erbringung des Dienstes nötig ist.
• Resend Inc. — versendet ausschließlich Transaktions-E-Mails (Anmeldelinks, Antworten auf deine Meldungen). Keine Marketing-E-Mails.
• Google LLC — nur wenn du „Mit Google anmelden“ wählst. Für diesen Anmeldeschritt gilt Googles eigene Datenschutzerklärung.

Offene Daten, die wir an öffentliche Datenbanken zurückgeben (siehe Nutzungsbedingungen und die Seite Datenquellen), enthalten nie deine Kontodaten — nur Produktfakten und Fotos von Verpackungen, gutgeschrieben einem generischen willithurt.me-Konto.

Wir können Daten außerdem offenlegen, wenn das Gesetz es verlangt, zum Beispiel um einer gerichtlichen Anordnung nachzukommen oder um Rechtsansprüche geltend zu machen oder abzuwehren.

6. Wie lange wir Daten aufbewahren

• Scan-Verlauf — bis du ihn löschst (Verlauf → Leeren, oder durch Löschen deines Kontos).
• Anonyme Sitzungen — 30 Tage nach der letzten Aktivität, sofern sie nicht in ein angemeldetes Konto überführt wurden.
• Kontodaten — solange dein Konto besteht. Wenn du dein Konto löschst, werden deine Kontodaten entfernt und deine Beiträge anonymisiert (die Produktdaten bleiben, ohne jeden Bezug zu dir).
• Beiträge und Produktfotos — bleiben Teil der Produktdatenbank; die Verknüpfung zu deinem Konto wird beim Löschen des Kontos entfernt.
• Meldungen — 24 Monate ab der Entscheidung, damit wir auf Nachfrage zeigen können, wie wir mit Hinweisen umgegangen sind.
• Audit-Logs von Moderations- und Admin-Aktionen — 12 Monate.
• Technische Logs (gehashte IP) — bis zu 30 Tage.
• Ratenbegrenzungszähler — gleitende Zeitfenster von höchstens einer Stunde.

7. Sicherheit

Der gesamte Datenverkehr ist bei der Übertragung verschlüsselt (TLS). Gespeicherte Daten werden von unseren Hosting-Anbietern verschlüsselt. Der Zugriff auf Produktionsdaten ist auf den Betreiber beschränkt und wird protokolliert. IP-Adressen werden nur als gesalzene Hashes gespeichert. Die Anmeldung erfolgt über einmalige Magic Links oder Google; Passwörter speichern wir nie.

Kein System ist perfekt sicher. Wenn wir von einer Verletzung des Schutzes personenbezogener Daten erfahren, die dich voraussichtlich gefährdet, benachrichtigen wir dich und die Aufsichtsbehörde, wie es die DSGVO verlangt.

8. Internationale Übermittlungen

Wir wählen EU-Regionen, wo unsere Anbieter sie anbieten (Datenbank und Bildspeicher liegen in der EU). Einige Anbieter — Vercel, Anthropic, Resend, Cloudflare und Google — sind in den USA ansässig oder betreiben Edge-Infrastruktur weltweit, sodass manche Daten außerhalb des Europäischen Wirtschaftsraums übermittelt werden können.

Wo das geschieht, stützen wir uns auf die Standardvertragsklauseln (SCC) der Europäischen Kommission, die in den Auftragsverarbeitungsvertrag jedes Anbieters aufgenommen sind, auf das EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist, sowie auf ergänzende Maßnahmen wie Verschlüsselung. Eine Kopie der jeweiligen Garantien kannst du über die obige Kontaktadresse anfordern.

9. Deine Rechte

In Bezug auf deine personenbezogenen Daten hast du die folgenden Rechte. Die meisten davon kannst du selbst auf der Kontoseite ausüben; für die übrigen schreib an privacy@willithurt.me. Wir antworten innerhalb eines Monats.

• Auskunft (Art. 15) — sieh, was wir über dich gespeichert haben. Konto → Daten exportieren lädt eine maschinenlesbare Kopie herunter.
• Berichtigung (Art. 16) — unrichtige Daten korrigieren. Name, Sprache und Land kannst du unter Konto bearbeiten.
• Löschung (Art. 17) — Konto → Konto löschen entfernt dein Konto, deinen Scan-Verlauf und die persönlichen Verknüpfungen zu Beiträgen.
• Datenübertragbarkeit (Art. 20) — der obige Export liegt als JSON vor, einem gängigen maschinenlesbaren Format.
• Einschränkung (Art. 18) und Widerspruch (Art. 21) — du kannst der Verarbeitung auf Grundlage unserer berechtigten Interessen widersprechen und verlangen, dass wir die Verarbeitung einschränken, während wir das prüfen. Schreib uns und sag, wogegen du widersprichst.
• Einwilligung widerrufen — für optionale Funktionen, jederzeit, ohne Auswirkung auf die frühere Verarbeitung.

Wir treffen keine Entscheidungen über dich mit rechtlicher oder ähnlich erheblicher Wirkung, die ausschließlich auf automatisierter Verarbeitung beruhen. Produkturteile werden automatisch erzeugt, betreffen aber Produkte, nicht dich.

Wenn du glaubst, dass wir deine Daten rechtswidrig verarbeiten, hast du das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Unsere federführende Behörde ist die lettische Datenschutzaufsicht: Datu valsts inspekcija, Elijas iela 17, Riga, LV-1050, Lettland — www.dvi.gov.lv. Du kannst dich auch an die Behörde des EU-Landes wenden, in dem du lebst oder arbeitest.

10. Kinder

willithurt.me richtet sich nicht an Kinder unter 16 Jahren, und wir erheben wissentlich keine personenbezogenen Daten von ihnen. Wenn du glaubst, dass ein Kind ein Konto angelegt hat, kontaktiere uns, und wir löschen es.

11. Änderungen dieser Erklärung

Wir aktualisieren diese Seite, wenn sich unsere Verarbeitung ändert, und passen das Datum „zuletzt aktualisiert“ oben an. Bei wesentlichen Änderungen zeigen wir einen Hinweis in der App. Frühere Versionen sind auf Anfrage erhältlich.