Datenschutzerklärung

Stand: Juni 2026 · Gilt für die Website kardhero.de und die App kardhero

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO):

Für datenschutzrechtliche Anfragen — insbesondere zur Wahrnehmung Ihrer Rechte nach Art. 15–21 DSGVO — wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Allgemeines und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten ausschließlich nach den Vorgaben der DSGVO und des Bundesdatenschutzgesetzes (BDSG). Je nach Verarbeitung stützen wir uns auf:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. Verknüpfung von Gmail/Outlook, Standortzugriff, Ernährungsangaben).
• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags (z. B. Konto, Bon-Scan, Treuekarten-Verwaltung).
• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Pflichten (z. B. Auskunfts- und Löschpflichten).
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (z. B. Server-Logs zur Sicherheit, anonymisierte Aggregationen).
• Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung in die Verarbeitung besonderer Kategorien (Ernährungs- und Allergiedaten).

3. Hosting der Website kardhero.de

Die Website wird über Cloudflare Pages (Cloudflare, Inc., 101 Townsend St., San Francisco, CA, USA) ausgeliefert. Beim Aufruf werden technische Server-Logs erzeugt (insbesondere IP-Adresse, Datum/Uhrzeit, abgerufene URL, Referrer, User-Agent). Diese Logs dienen der Bereitstellung, Stabilität und Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO) und werden bei Cloudflare nach den dortigen Standardfristen aufbewahrt.

Die Übermittlung in die USA erfolgt auf Basis der EU-Standardvertragsklauseln nach Art. 46 DSGVO, ergänzend gestützt auf das EU-US Data Privacy Framework.

Auf der Website werden keine Analyse-, Werbe- oder Tracking-Cookies eingesetzt. Schriftarten (Poppins) werden lokal von unserem Server ausgeliefert — es findet kein Aufruf von Google Fonts oder vergleichbaren CDN-Diensten statt.

4. Verarbeitung in der App kardhero

4.1 Konto und Authentifizierung

Für die Nutzung der App legen Sie ein Nutzerkonto an. Dabei verarbeiten wir Name, E-Mail-Adresse, gewählten Tarif („basic"/„plus"/„family"), ggf. eine Postleitzahl sowie technische Konto-Metadaten (Erstellungszeitpunkt, Trial-Ablauf, optional Family-Zugehörigkeit). Authentifizierung und Datenspeicherung erfolgen bei unserem Auftragsverarbeiter Supabase in der EU-Region Frankfurt am Main (Deutschland).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Speicherdauer: bis zur Löschung des Kontos (siehe Abschnitt 6).

4.2 Bon-Scan (Kamera, Galerie, PDF, E-Mail)

Beim Scannen eines Kassenbons übermitteln wir das Foto bzw. die PDF kurzfristig an unseren KI-Auftragsverarbeiter Anthropic, PBC (USA), der den Beleg automatisiert in strukturierte Daten überführt (Texterkennung / OCR). Anthropic speichert die übermittelten Bilder nicht, API-Logs werden nach 7 Tagen gelöscht; die übermittelten Inhalte werden nicht zum Training von KI-Modellen verwendet (vertraglich zugesichert).

In unserer Datenbank speichern wir ausschließlich die extrahierten JSON-Daten (Artikel, Mengen, Preise, Gesamtsumme, Datum, Filiale, ggf. Zahlart und Bonuspunkte), nicht das ursprüngliche Foto/PDF. Eingangsdaten von Apotheken werden über eine harte Absender-Sperrliste (Denylist) bereits vor der Verarbeitung verworfen, um die Erhebung von Gesundheitsdaten gemäß Art. 9 DSGVO grundsätzlich auszuschließen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Bon-Scan als Kernfunktion). Speicherdauer: bis zur Löschung des Kontos.

4.3 Bon-Empfang per Gmail-Verknüpfung

Sie können freiwillig Ihr Gmail-Konto verknüpfen, damit unsere Server Bon-Mails bekannter Händler automatisch abrufen. Wir fragen ausschließlich den Lesezugriff (Scope gmail.readonly) an. Es werden nur Nachrichten verarbeitet, deren Absender auf einer abschließenden Liste bekannter Händler steht; Apotheken- und Gesundheits-Absender sind über die genannte Denylist (Art. 9 DSGVO) hart ausgeschlossen.

Die OAuth-Zugangs- und Refresh-Token werden verschlüsselt (AES-256-GCM) in unserer Datenbank gespeichert; der Klartext verlässt zu keinem Zeitpunkt den Server und ist für den Client nicht abrufbar. Bei Disconnect werden die Tokens vollständig gelöscht.

Empfänger: Google Ireland Ltd. (Irland) bzw. Google LLC (USA) als Anbieter der Gmail-API. Drittland: USA. Die Übermittlung in die USA erfolgt auf Basis der EU-Standardvertragsklauseln (Art. 46 DSGVO), ergänzend gestützt auf das EU-US Data Privacy Framework.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — Sie verknüpfen Gmail aktiv). Widerruf jederzeit per „Trennen" in der App und/oder im Google-Konto.

4.4 Bon-Empfang per Outlook-Verknüpfung

Analog zu Gmail können Sie ein Microsoft-Konto (Outlook/Hotmail/Live) verknüpfen. Wir fragen die Scopes Mail.Read, User.Read und offline_access an. Der OAuth-Code-Austausch erfolgt ausschließlich serverseitig; die resultierenden Zugangs- und Refresh-Token werden verschlüsselt (AES-256-GCM) gespeichert.

Empfänger: Microsoft Ireland Operations Ltd. bzw. Microsoft Corporation (USA) als Anbieter von Microsoft Graph. Drittland: USA. Übermittlung auf Basis der EU-Standardvertragsklauseln (Art. 46 DSGVO), ergänzend EU-US Data Privacy Framework.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf jederzeit per „Trennen" in der App und/oder im Microsoft-Konto.

4.5 Bon-Empfang per Weiterleitung an bons.kard-app.de

Sie können sich pro Konto eine personalisierte Eingangsadresse unter bons.kard-app.de generieren und Bon-Mails händisch an diese Adresse weiterleiten. Der eingehende Mailfluss wird über Cloudflare Email Routing an einen Cloudflare Worker und anschließend signiert (HMAC-SHA256) an unsere Verarbeitungs-Funktion übergeben.

Wir führen ein Verarbeitungsprotokoll (Art. 30 DSGVO) für eingehende Mails. Diese Audit-Daten werden automatisch nach 90 Tagen über einen geplanten Datenbank-Job gelöscht.

Empfänger: Cloudflare (Email Routing, USA, ggf. EU-Endpoints). Drittland: USA. Übermittlung auf Basis der EU-Standardvertragsklauseln (Art. 46 DSGVO), ergänzend EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

4.6 KI-gestützte Funktionen (Rezepte, Sparvorschläge, Coupons)

Für KI-gestützte Funktionen (Rezeptvorschläge, Coupon-Analyse, Spar-Coach, Wochenplaner, Substitut-Vorschläge, Geschmacksprofil-Auswertung) übermitteln wir die jeweils benötigten Inhalte an Anthropic, PBC (USA, Modelle „Claude Haiku" bzw. „Claude Sonnet"). Übermittelt werden je nach Funktion: Bon-Inhalte (Artikel/Mengen/Preise/Datum), Zutaten- und Rezeptbezeichnungen, Angebotsdaten sowie ggf. Ihr aggregiertes Geschmacksprofil (z. B. bevorzugte Zutaten, vegetarische Tendenz, Budget-Indikator).

Anthropic speichert übermittelte Inhalte nicht dauerhaft, API-Logs werden nach 7 Tagen gelöscht, und die Inhalte werden nicht zum Training verwendet (vertragliche Zusicherung). Wir cachen erfolgreich generierte Antworten auf unseren Servern, um wiederholte Anfragen ressourcenschonend zu beantworten.

Empfänger: Anthropic, PBC (USA). Drittland: USA. Übermittlung auf Basis der EU-Standardvertragsklauseln (Art. 46 DSGVO), ergänzend EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — KI-Empfehlungen sind Kernfunktion).

4.7 Standort und Ladenerkennung

Wenn Sie die Funktion „Laden automatisch erkennen" nutzen, fragen wir auf Ihrem Gerät die Foreground-Standortberechtigung ab. Bei aktiver Erlaubnis verwenden wir Ihre GPS-Koordinaten sowie — auf nativen Builds — den Namen des verbundenen WLANs, um den aktuellen Laden zu erkennen.

Ihre Koordinaten werden zur Suche nahegelegener Geschäfte einmalig an die Google Places API (Google Ireland Ltd./Google LLC) übermittelt. Standorte, die Sie selbst markieren („Ich bin hier"), übertragen wir verschlüsselt und speichern sie in unserer EU-Datenbank.

Empfänger: Google (USA). Drittland: USA. Übermittlung auf Basis der EU-Standardvertragsklauseln (Art. 46 DSGVO), ergänzend EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über System-Permission). Die Einwilligung können Sie jederzeit in den Geräteeinstellungen widerrufen.

4.8 Treuekarten

Sie können Kundenkarten in der App ablegen (Händler, Kartennummer, optional Punktestand, Datum des letzten Einkaufs). Die Speicherung erfolgt bei Supabase in der EU und ist nach dem Stand der Technik gegen unberechtigten Zugriff gesichert (Art. 32 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung der Karte oder des Kontos.

4.9 Wochenangebote

Zur Anzeige aktueller Wochenangebote rufen wir die API des Anbieters Marktguru Deutschland GmbH auf. Dabei wird Ihre Postleitzahl (PLZ) übertragen, damit lokal relevante Angebote ausgespielt werden können. Eine Verknüpfung mit Ihrer Identität findet bei Marktguru nicht statt; eine Persistierung der PLZ-Anfrage erfolgt nach unserem Kenntnisstand bei Marktguru nur kurzfristig zur Auslieferung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an funktionierender Angebots-Anzeige; PLZ ist keine direkte Personenkennung).

4.10 Geschmacks- und Verhaltensprofil

Aus Ihren App-Aktivitäten (Bon-Scans, gewählte Rezepte, Lieblings-Tipps, ausgeschlossene Zutaten) erstellen wir ein aggregiertes Geschmacksprofil, das die Personalisierung verbessert. Es enthält keine Klartext-Sensitivdaten, sondern statistische Werte wie Häufigkeiten, Stammzutaten, Küchenvorlieben und einen vegetarischen Tendenz-Score.

Die Erfassung von Verhaltens-Ereignissen erfolgt nur, wenn Sie das Tracking aktiviert haben (Opt-in). Sie können die Erfassung in den App-Einstellungen jederzeit deaktivieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Speicherdauer: bis zum Widerruf oder bis zur Löschung des Kontos.

4.11 Besondere Kategorien: Ernährungs- und Allergiedaten (Art. 9 DSGVO)

Wenn Sie in der App Ernährungs-Präferenzen oder Allergien hinterlegen (z. B. „vegetarisch", „glutenfrei", „laktosefrei"), handelt es sich um besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (Gesundheitsdaten).

Die Verarbeitung dieser Daten erfolgt ausschließlich auf Basis Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Sie können diese Einwilligung jederzeit widerrufen; der Widerruf führt zur Löschung der entsprechenden Felder. Eine Übermittlung dieser Daten an Dritte findet nicht statt; eine Verarbeitung durch unseren KI-Auftragsverarbeiter erfolgt nur im Rahmen Ihrer Rezeptanfrage und nur für die Dauer der Anfrage.

4.12 Lokale Erinnerungen (Push-Notifications)

Die App kann lokale Erinnerungen auf Ihrem Gerät planen (z. B. Verfallswarnung für Lebensmittel, Spar-Streak). Es werden keine Push-Token an unsere Server übermittelt; alle Benachrichtigungen werden lokal auf Ihrem Endgerät erzeugt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (System-Berechtigung). Sie können Benachrichtigungen jederzeit in den Geräteeinstellungen abschalten.

4.13 Premium-/Abo-Funktionen

Premium-Features (z. B. Preisalarm, Budget, Wochenplan-Vorschläge, Garantie-Erinnerung) werden in unserer Datenbank pro Konto gespeichert. Sie sind Kernbestandteil des Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Die Zahlungsabwicklung für kostenpflichtige Funktionen ist derzeit nicht aktiv. Vor Aktivierung kostenpflichtiger Funktionen wird dieser Abschnitt um Angaben zum Zahlungsdienstleister, dort verarbeiteten Daten und Drittlandsbezug ergänzt.

5. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Auftragsverarbeiter und Empfänger ein. Mit allen Anbietern bestehen entsprechende Verträge zur Auftragsverarbeitung (Art. 28 DSGVO). Für Übermittlungen in die USA bestehen EU-Standardvertragsklauseln nach Art. 46 DSGVO; ergänzend stützen wir uns auf das EU-US Data Privacy Framework.

• Supabase, Inc. — Auth, Datenbank, Edge Functions, geplante Datenbank-Jobs. Hosting in der EU (Region Frankfurt am Main).
• Anthropic, PBC — KI-Verarbeitung (OCR, Rezepte, Coupons, Spar-Coach, Substitute). USA, EU-SCC + EU-US Data Privacy Framework. Keine Speicherung der Inhalte über 7 Tage hinaus; keine Nutzung zum Modelltraining.
• Cloudflare, Inc. — Website-Hosting (Cloudflare Pages), Email-Routing für bons.kard-app.de, Worker. USA, EU-SCC + EU-US Data Privacy Framework.
• Google Ireland Ltd. / Google LLC — Gmail-API (bei Verknüpfung Ihres Gmail-Kontos), Google Places API (bei Standort-Erkennung). USA, EU-SCC + EU-US Data Privacy Framework.
• Microsoft Ireland Operations Ltd. / Microsoft Corporation — Microsoft Graph (bei Verknüpfung Ihres Outlook-Kontos). USA, EU-SCC + EU-US Data Privacy Framework.
• Marktguru Deutschland GmbH — Bereitstellung von Wochenangebots-Daten anhand der übermittelten PLZ. Sitz in Deutschland.
• Apple Inc. / Google LLC — Bereitstellung der App über die jeweiligen App-Stores; Verarbeitung gemäß den dortigen Datenschutzbestimmungen.

6. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist:

• Kontodaten, Bons, Treuekarten, Geschmacksprofil, Einkaufslisten, Rezepte: bis zur Löschung des Kontos durch Sie.
• OAuth-Tokens (Gmail/Outlook): bis zur Trennung der Verbindung oder Löschung des Kontos.
• E-Mail-Verarbeitungsprotokoll (eingehende Bon-Mails): 90 Tage, danach automatische Löschung.
• Gecachte KI-Antworten: kurzfristig (zwischen einer Stunde und 24 Stunden je Funktion).
• Standort-Cache (lokal auf dem Gerät): 30 Minuten, danach Verwerfung.

Recht auf Löschung (Art. 17 DSGVO). Sie können Ihr Konto und sämtliche damit verknüpften Daten über die App selbst löschen. Diese Löschung ist als kontrollierter Vorgang implementiert und entfernt Ihre Daten konsistent über alle betroffenen Datenbanktabellen (kaskadierende Löschung). Eine Wiederherstellung ist anschließend nicht möglich.

7. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO).
• Recht auf Berichtigung (Art. 16 DSGVO).
• Recht auf Löschung (Art. 17 DSGVO).
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruchsrecht gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
• Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung dieser Rechte wenden Sie sich bitte formlos an kontakt@kardhero.de.

7.1 Datenexport (Art. 20 DSGVO)

Bis zur Bereitstellung einer Selbstbedienungs-Exportfunktion in der App stellen wir Ihnen Ihre Daten auf formlose Anfrage an kontakt@kardhero.de in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung. Die Bearbeitung erfolgt innerhalb der gesetzlich vorgesehenen Frist (in der Regel ein Monat).

7.2 Zuständige Aufsichtsbehörde

Ihre Beschwerden hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten richten Sie bitte an die für uns zuständige Aufsichtsbehörde:

8. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen. Insbesondere:

• Transportverschlüsselung (TLS) für alle App- und Website-Verbindungen.
• OAuth-Tokens (Gmail/Outlook) werden ausschließlich verschlüsselt in der Datenbank gespeichert (AES-256-GCM, application-layer); die Klartext-Token verlassen den Server nicht.
• Row Level Security auf der gesamten Datenbank: pro Tabelle sind Lese- und Schreibrechte streng auf die Eigentümer-ID beschränkt.
• Apotheken-Sperrliste: Mails von Apotheken und vergleichbaren Gesundheits-Absendern werden vor jeder Verarbeitung erkannt und verworfen — entsprechende Inhalte (Art. 9 DSGVO) gelangen nicht in unsere Datenhaltung.
• Serverseitige OAuth-Code-Tauschvorgänge: Auth-Codes für Gmail und Outlook werden ausschließlich auf dem Server eingelöst; der Client erhält die Klartext-Tokens zu keinem Zeitpunkt.
• Signierte Webhooks (HMAC-SHA256) für eingehende Bon-Mails über bons.kard-app.de.
• Geplante Lösch-Jobs: Verarbeitungsprotokolle werden automatisch nach Ablauf der Aufbewahrungsfrist entfernt.
• Kaskadierende Konto-Löschung: Auf Wunsch werden alle Datenbestände eines Nutzers konsistent über alle Tabellen hinweg entfernt.

9. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Verarbeitung ändert oder neue gesetzliche oder behördliche Vorgaben dies erforderlich machen. Die jeweils aktuelle Fassung gilt ab dem oben angegebenen Stand. Bei wesentlichen Änderungen werden wir Sie zusätzlich in der App oder per E-Mail informieren.

Stand: Juni 2026