Datenschutzerklärung

Hosting

Die Website wird gehostet bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA). Bei jedem Aufruf speichert Vercel technisch notwendige Daten in Server-Logs: IP-Adresse, Browsertyp, Betriebssystem, aufgerufene URL, Zeitpunkt des Zugriffs. Diese Daten werden nach spätestens 30 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Mit Vercel besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Die Übertragung in die USA erfolgt auf Basis des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO).

Schriftarten

Die Schriftarten dieser Website liegen auf unserem eigenen Server. Beim Aufruf wird keine Verbindung zu Google oder anderen Schriftanbietern aufgebaut.

Kontaktformular

Wenn du unser Kontaktformular nutzt, erheben wir: Name, E-Mail-Adresse und deine Nachricht. Diese Daten werden ausschließlich zur Bearbeitung deiner Anfrage verwendet.

Der E-Mail-Versand erfolgt über Resend Inc. (548 Market St PMB 72878, San Francisco, CA 94104, USA) als technischen Dienstleister. Mit Resend besteht ein Auftragsverarbeitungsvertrag. Resend verarbeitet die Daten ausschließlich zur E-Mail-Zustellung. Die Übertragung in die USA erfolgt auf Basis der SCC.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die Daten werden so lange gespeichert, wie es zur Bearbeitung deiner Anfrage erforderlich ist.

Cookies und Tracking

Wir setzen keine Analyse- oder Werbe-Cookies und kein Tracking ein. Wenn du dich im Betreiber-Dashboard anmeldest, speichert die Seite technisch notwendige Anmelde-Cookies, damit du angemeldet bleibst. Diese sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und werden beim Abmelden bzw. nach Ablauf der Sitzung gelöscht.

Links zu Automaten (QR-Codes)

Die QR-Codes an Venova-Automaten führen auf venova-app.de/a/…. Ist die App installiert, öffnet sich direkt die App. Andernfalls leitet die Seite in den App Store bzw. Google Play Store weiter; unter Android wird dabei die Kennung des Automaten an Google Play übergeben, damit die App nach der Installation direkt den Check-in anbieten kann (siehe Abschnitt 4, Installationsquelle).

Registrierung & Anmeldung

Für Funktionen wie Einchecken, Bewerten oder Favoriten ist ein Konto erforderlich. Du kannst dich per E-Mail und Passwort oder über deinen Google- bzw. Apple-Account anmelden. Dabei werden erhoben: E-Mail-Adresse, Passwort (nur als Hash gespeichert), ggf. Name und Profilbild aus deinem Google- bzw. Apple-Konto sowie eine Nutzer-ID.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Authentifizierung erfolgt über Supabase (Supabase Inc., USA; Serverstandort: EU/Frankfurt).

Schutz vor Missbrauch (Cloudflare Turnstile)

Bei der Anmeldung, der Registrierung und beim Zurücksetzen des Passworts in der App sowie bei der Anmeldung im Betreiber-Dashboard und beim Absenden des Kontaktformulars prüfen wir im Hintergrund, ob die Anfrage von einem Menschen stammt. So verhindern wir automatisch angelegte Konten, das massenhafte Ausprobieren von Passwörtern und Spam über das Kontaktformular. Dafür nutzen wir Cloudflare Turnstile (Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA). Du musst dabei nichts anklicken. Cloudflare verarbeitet technische Daten deines Geräts und Browsers (u. a. IP-Adresse, Browser- und Geräteinformationen) und nutzt sie nicht für Werbung. Einzelheiten regelt Cloudflares Turnstile Privacy Addendum.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Konten und am Schutz vor Missbrauch). Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.

Profildaten

Du wählst einen Nutzernamen. Er ist für andere sichtbar, wenn du Inhalte beiträgst; bei Bewertungen erscheint nur der Vorname (erstes Wort deines Nutzernamens) oder auf Wunsch „Anonym“. Als Automatenbetreiber speicherst du zusätzlich Geschäftsdaten, die auf deiner öffentlichen Webseite erscheinen: Firmenname, Adresse, Telefonnummer, E-Mail-Adresse, Logo, Farbschema, Impressumsangaben und Social-Media-Links.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherort: Supabase (EU/Frankfurt).

Standortdaten & Karten

Mit deiner Erlaubnis (Geräteberechtigung) nutzt die App deinen Standort, um Automaten in deiner Nähe und Entfernungen anzuzeigen. Dein Standort wird dafür nicht gespeichert. Gespeichert wird er nur, wenn du eine Statusmeldung zu einem Automaten abgibst (Meldung mit Standort) — und beim Einchecken wird er zur Nähe-Prüfung an unseren Server geschickt (siehe Abschnitt 5).

Die Kartendarstellung erfolgt über Mapbox Inc. (50 Beale St, San Francisco, CA 94105, USA). Dabei werden der angezeigte Kartenausschnitt und deine IP-Adresse an Mapbox übertragen. Viele Automatenstandorte stammen von OpenStreetMap (© OpenStreetMap-Mitwirkende, Open Database License).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Geräteberechtigung, jederzeit in den Geräteeinstellungen widerrufbar). Die Übertragung an Mapbox in die USA erfolgt auf Basis der SCC.

Bluetooth

Hast du der App Bluetooth erlaubt, sucht sie, solange sie geöffnet ist, etwa einmal pro Minute für einige Sekunden nach Venova-Automaten in der Nähe, um dir den Check-in vorzuschlagen. Ausgewertet werden nur Signale, deren Name mit „venova-“ beginnt; andere Geräte in deiner Umgebung werden weder gespeichert noch übertragen. Erst beim Einchecken gehen Kennung und Signalstärke des gefundenen Automaten an unseren Server (siehe Abschnitt 5).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Geräteberechtigung).

Installationsquelle (Android)

Wurde die App über einen Automaten-QR-Code oder einen Empfehlungslink aus Google Play installiert, liest die App beim ersten Start einmalig die von Google Play übergebene Installationsquelle (Play Install Referrer) aus. Sie enthält nur die Kennung des Automaten bzw. den Empfehlungscode und dient dazu, dich direkt zum Check-in zu führen bzw. die Empfehlung dem werbenden Betreiber zuzuordnen. Die Zwischenablage liest die App nicht aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (gewünschte Funktion) bzw. lit. f (Zuordnung von Empfehlungen im Empfehlungsprogramm).

Beiträge der Gemeinschaft

Du kannst Automaten eintragen und ergänzen, Fotos hochladen, Automaten bewerten, Statusmeldungen abgeben (z. B. „außer Betrieb“, mit Standort) und Automaten als Favoriten speichern. Diese Inhalte werden mit deiner Nutzer-ID gespeichert. Wie oft andere deine eingetragenen Automaten aufrufen („Meine Entdeckungen“), zählen wir nur als Summe, ohne zu speichern, wer sie aufgerufen hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherort: Supabase Storage und Datenbank (EU/Frankfurt).

Chat und Support

Die App bietet einen Chat zwischen Nutzern und Betreibern sowie Support-Anfragen an uns. Dabei werden Nachrichten, Bildanhänge und Zeitstempel gespeichert und der jeweiligen Nutzer-ID zugeordnet. Bildanhänge liegen in einem nicht öffentlichen Speicher und können nur von den Beteiligten (bzw. unserem Support-Team) über zeitlich begrenzte Links abgerufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherort: Supabase (EU/Frankfurt).

Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen erlaubst, speichern wir ein gerätespezifisches Token von Firebase Cloud Messaging, um dir Benachrichtigungen zustellen zu können (z. B. gutgeschriebene Punkte, Antworten im Chat, für Betreiber Meldungen zu ihren Automaten). Der Versand erfolgt über Google Firebase Cloud Messaging (Google LLC, USA). Du kannst Benachrichtigungen jederzeit in den App- oder Geräteeinstellungen abschalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Übertragung in die USA erfolgt auf Basis der SCC.

Zahlungsabwicklung (Betreiber)

Für kostenpflichtige Abonnements nutzen wir Stripe Inc. (510 Townsend St, San Francisco, CA 94103, USA). Wir speichern lediglich deine Stripe-Kunden-ID und den Abonnementstatus. Zahlungsmittelinformationen (z. B. Kreditkartendaten) werden ausschließlich von Stripe verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Übertragung in die USA erfolgt auf Basis der SCC.

Produktdaten (Open Food Facts)

Produktnamen und -bilder stammen teilweise aus Open Food Facts (Open Food Facts, 21 rue des Iles, 94130 Nogent-sur-Marne, Frankreich). Beim Scannen eines Barcodes wird nur der Barcode an Open Food Facts übertragen. Produktbilder laden wir in der Regel von unseren eigenen Servern; nur noch nicht übernommene Bilder kommen direkt von Open Food Facts (dabei wird deine IP-Adresse übertragen).

Absturzberichte (Firebase Crashlytics)

Zur Erkennung und Behebung technischer Fehler nutzen wir Firebase Crashlytics (Google LLC, USA). Bei einem Absturz oder Fehler werden technische Berichte übermittelt: Fehlerverlauf (Stack Trace), Gerätetyp, Betriebssystem- und App-Version sowie eine zufällige Installationskennung. Inhalte wie Name, E-Mail oder Nachrichten werden nicht übertragen.

Die Übertragung in die USA erfolgt auf Basis der SCC im Rahmen des Auftragsverarbeitungsvertrags mit Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und fehlerfreien App-Betrieb).

Keine Nutzungsanalyse

Die App setzt keine Analyse- oder Werbe-Dienste ein und erstellt keine Nutzungsprofile.

Datenspeicherung auf dem Gerät

Anmeldedaten (Sitzungs-Token) werden verschlüsselt auf deinem Gerät gespeichert (Android: EncryptedSharedPreferences, iOS: Schlüsselbund), dazu Einstellungen wie gelesene Hinweise. Temporäre Bilddateien werden nach dem Upload gelöscht.

Check-in und Nähe-Prüfung

Beim Check-in prüfen wir, ob du dich am Automaten befindest. Dazu schickt die App — je nachdem, was verfügbar ist — die Bluetooth-Signalstärke des Automaten oder deinen aktuellen Standort samt Genauigkeit an unseren Server. Wir speichern zum Check-in: deine Nutzer-ID, den Automaten, Zeitpunkt, Art des Nachweises (Bluetooth, Standort oder nur QR-Code) und bei Standort-Nachweis den errechneten Abstand zum Automaten — nicht deine Koordinaten.

Käufe, Punkte und Einlösungen

Das Venova-Modul im Automaten meldet jeden Verkauf (Fach, Preis, Zeit, Bar oder Karte) an unseren Server. Bist du in diesem Moment eingecheckt, ordnen wir den Kauf deinem Konto zu und schreiben dir Punkte gut. Wir speichern dazu den Kauf, deine Punktebuchungen (gesammelt, eingelöst, geschenkt) und deinen Punktestand je Betreiber. Kartendaten erhalten wir dabei nicht — die Kartenzahlung läuft wie gewohnt über das Terminal des Automaten.

Willkommensgeschenk: Bietet ein Betreiber ein einmaliges Gratisprodukt für neue Kunden an, speichern wir zur Missbrauchsvermeidung zusätzlich einen nicht umkehrbaren Prüfwert (Hash) einer Geräte-Kennung, damit das Geschenk je Gerät nur einmal abgeholt werden kann. Dieser Prüfwert bleibt auch nach einer Kontolöschung gespeichert.

Anzeige am Automaten-Bildschirm

Hat der Automat einen Bildschirm, zeigt er nach deinem Check-in deinen Vornamen (erstes Wort deines Nutzernamens) und deinen Punktestand beim Betreiber, nach einem Kauf die gutgeschriebenen Punkte bzw. das eingelöste Produkt. Diese Anzeige ist für Umstehende sichtbar. Den Namen kannst du jederzeit im Profil („Name am Automaten zeigen“) oder direkt beim Check-in abschalten; der Bildschirm begrüßt dich dann ohne Namen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (persönliche Begrüßung und Rückmeldung zum Kauf), mit jederzeitiger Widerspruchsmöglichkeit über den Schalter.

Empfänger: der Betreiber

Der Betreiber des Automaten sieht Check-ins, Käufe, Einlösungen und Punktebuchungen an seinen Automaten mit einer pseudonymen Kunden-ID — nicht deinen Namen oder deine E-Mail-Adresse. Er nutzt sie für sein Treueprogramm, seine Abrechnung und Verkaufsstatistik.

Rechtsgrundlage

Check-in, Kaufzuordnung und Treuepunkte: Art. 6 Abs. 1 lit. b DSGVO (Teilnahme am Treueprogramm, das du durch den Check-in nutzt). Nähe-Prüfung und Willkommensgeschenk-Prüfwert: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch des Treueprogramms).