Simsalabon

Entwurf: Diese Seite wird vor dem Store-Start rechtlich geprüft. Markierte Stellen werden noch ergänzt.

Datenschutzerklärung für die App „Simsalabon“

Stand: 22.10.2026

Diese Datenschutzerklärung informiert darüber, welche personenbezogenen Daten bei der Nutzung der App „Simsalabon“ für iPhone, iPad (iOS/iPadOS) und Android sowie der Web-Version im Browser (im Folgenden „App“) verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und welche Rechte du hast. Die App richtet sich an Nutzerinnen und Nutzer in Deutschland.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

cybite GmbH & Co. KG, Lange Wende 5, 59494 Soest, hallo@simsalabon.de

2. Überblick

3. Benutzerkonto und Anmeldung

Die Anmeldung ist freiwillig („Anmelden & sichern“). Sie dient dazu, deine Einträge zu sichern und auf mehreren Geräten zu nutzen.

Welche Daten: E-Mail-Adresse, ein einmaliger 6-stelliger Anmeldecode, technische Kontokennungen, Zeitpunkt der Anmeldung sowie die Einträge, die du sicherst (z. B. Bons, Einkaufsliste, Einstellungen).

Zweck: Anlegen und Verwalten des Kontos, Anmeldung ohne Passwort, Sicherung und Abgleich deiner Daten zwischen Geräten.

Ablauf: Nach Eingabe der E-Mail-Adresse wird ein 6-stelliger Code per E-Mail versendet. Mit diesem Code erfolgt die Anmeldung.

Dienstleister: Kontoverwaltung, Versand der Anmelde-E-Mails und Datenspeicherung erfolgen über Supabase (Supabase Inc., USA). Die Daten werden in einem Rechenzentrum in der EU (Frankfurt am Main) gespeichert. Soweit dabei ein Zugriff aus den USA möglich ist, erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

Speicherdauer: Bis zur Löschung des Kontos (siehe Abschnitt 13).

4. Kassenbon-Prüfung (Foto oder PDF)

Welche Daten: Das Foto oder die PDF-Datei eines Kassenbons sowie die daraus ausgelesenen Bon-Daten (Markt, Datum, Positionen, Beträge). Je nach Kassenbon können darauf weitere Angaben stehen (z. B. Filialadresse, Zahlungsart, Teile einer Kartennummer, Kundenkartennummer). Diese weiteren Angaben werden nicht ausgelesen und nicht gespeichert.

Zweck: Auslesen der gekauften Artikel und Preise, Abgleich mit aktuellen Angeboten, Anzeige des Prüfergebnisses und Führen eines Verlaufs.

Ablauf: Das Bild bzw. die PDF-Datei wird über unseren eigenen Server-Endpunkt (Cloudflare, Abschnitt 6) an einen KI-Dienst übermittelt, der die Positionen ausliest (Abschnitt 5). Das Ergebnis wird mit unseren Angebotsdaten abgeglichen.

Speicherung:

Nur Supermarkt-Bons: Simsalabon prüft nur Bons von Supermärkten und Discountern. Erkennt die App einen anderen Bon (z. B. aus einer Apotheke), wird er nicht ausgewertet und nichts davon gespeichert. Bitte lade solche Bons nicht hoch, denn aus manchen Einkäufen können sich Rückschlüsse auf Gesundheit oder andere sensible Lebensbereiche ergeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Prüfung und Verlauf; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Speicherung der Fotos im Bon-Archiv. Die Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, indem du das Bon-Archiv in der App ausschaltest.

5. KI-Dienst (Anthropic) und Übermittlung in die USA

Zum Auslesen der Kassenbons nutzen wir die Programmierschnittstelle (API) von Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA (KI-Modell „Claude“).

Übermittelte Daten: Das Bild bzw. die PDF-Datei des Kassenbons und technische Anfragedaten. Wenn du deine Einkaufsliste nach Läden sortieren, eine Woche planen oder dir ein Rezept vorschlagen lässt, werden außerdem die dafür nötigen Angaben übermittelt, etwa die Einträge deiner Einkaufsliste. Die Anfrage wird über unseren Server gestellt, sodass deine IP-Adresse und deine E-Mail-Adresse nicht an Anthropic übermittelt werden.

Speicherung und Nutzung beim Anbieter: Anthropic nutzt die Daten nicht zum Trainieren seiner KI-Modelle und löscht sie nach kurzer Zeit.

Drittlandübermittlung: Die Verarbeitung erfolgt in den USA. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Anthropic verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Hosting und Server (Cloudflare)

Die App-Oberfläche und unsere Server-Funktionen (u. a. der Endpunkt für die KI-Anfrage) werden über Cloudflare Pages und Cloudflare Workers betrieben. Anbieter ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA.

Welche Daten: Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angefragte Ressource und Geräte-/Browserinformationen, sowie die Inhalte der jeweiligen Anfrage (z. B. das Bon-Foto bei der Prüfung).

Zweck: Bereitstellung, Stabilität und Sicherheit der App (u. a. Schutz vor Missbrauch und Überlastung).

Drittlandübermittlung: Cloudflare kann Daten auch in den USA verarbeiten. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Cloudflare ist als Auftragsverarbeiter nach Art. 28 DSGVO tätig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

Speicherdauer: Zum Schutz vor Überlastung kann die Zahl der KI-Anfragen pro Tag gezählt werden; die IP-Adresse wird dafür höchstens 26 Stunden gespeichert. Darüber hinaus legen wir keine eigenen Protokolle mit personenbezogenen Daten an.

7. Standort / Postleitzahl (OpenStreetMap Nominatim)

Welche Daten: Die von dir eingegebene Postleitzahl. Tippst du auf „Meinen Standort verwenden“, fragt die App nach deiner Erlaubnis und nutzt einmalig deinen ungefähren Standort (auf etwa 100 Meter gerundet), um daraus die Postleitzahl zu ermitteln. Der Standort wird nicht gespeichert.

Zweck: Anzeige von Angeboten und Märkten in deiner Umgebung.

Geocoding: Zur Umwandlung nutzen wir den Dienst Nominatim der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Die Anfrage geht direkt von deinem Gerät aus; dabei werden die Postleitzahl bzw. der gerundete Standort und deine IP-Adresse übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für den Gerätestandort zusätzlich deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

8. Angebotsdaten

Die wöchentlichen Angebote stammen aus unserem eigenen Datenbestand. Für die Anzeige der Angebote werden keine personenbezogenen Daten an Märkte oder Dritte weitergegeben.

9. Käufe und Abonnement (Apple, Google, RevenueCat)

In der Testphase (Beta) werden keine Käufe angeboten. Für die Version in den Stores gilt:

Apple und Google: Käufe von Simsalabon Plus werden ausschließlich über den In-App-Kauf von Apple (App Store) bzw. Google (Google Play) abgewickelt. Zahlungsdaten erhalten wir nicht. Für die Verarbeitung durch Apple bzw. Google gelten deren Datenschutzrichtlinien.

RevenueCat: Zur Verwaltung und Prüfung des Abo-Status nutzen wir den Dienst RevenueCat, Inc., USA. Dabei werden eine pseudonyme Nutzerkennung, Kaufbelege von Apple bzw. Google (u. a. Produkt, Kaufzeitpunkt, Laufzeit, Abo-Status) und technische Gerätedaten verarbeitet.

Drittlandübermittlung: Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). RevenueCat ist als Auftragsverarbeiter nach Art. 28 DSGVO tätig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; gesetzliche Aufbewahrungspflichten nach Art. 6 Abs. 1 lit. c DSGVO, soweit anwendbar.

10. Push-Mitteilungen

Wenn du zustimmst, senden wir höchstens eine Push-Mitteilung pro Angebotswoche. Dafür wird ein Geräte-Token verarbeitet. Die Zustellung erfolgt auf iPhone und iPad über den Apple Push Notification Service (Apple), auf Android über Firebase Cloud Messaging (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei ist eine Übermittlung an Google LLC in den USA möglich; sie erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Push-Mitteilungen lassen sich jederzeit in der App oder in den Einstellungen deines Geräts (iOS bzw. Android) abschalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), widerrufbar mit Wirkung für die Zukunft.

11. Idee oder Fehler melden

Wenn du „Idee oder Fehler melden“ nutzt, öffnet sich deine eigene Mail-App mit einer vorbereiteten Nachricht. Schickst du sie ab, erhalten wir deine E-Mail-Adresse, deinen Text, ein angehängtes Bild (falls du eines anhängst) und technische Angaben wie App-Version, Ansicht und Gerätetyp.

Zweck: Bearbeitung deiner Nachricht und Verbesserung der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Wir löschen deine Nachricht, wenn sie erledigt ist, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

12. Speicherung auf dem Gerät

Die App speichert deine Einträge und Einstellungen (z. B. Bons, Einkaufsliste, Postleitzahl, Ansicht) lokal auf deinem Gerät (localStorage, IndexedDB). Wenn du angemeldet bist, liegt dort außerdem ein Anmelde-Schlüssel (Sitzungstoken). Diese Daten werden nicht zu Analyse- oder Werbezwecken ausgelesen. Sie werden beim Löschen der App oder über „Konto & Daten löschen“ entfernt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den gewünschten Dienst) sowie Art. 6 Abs. 1 lit. b DSGVO.

13. Löschung des Kontos

Du kannst deine Daten und dein Konto jederzeit direkt in der App löschen („Mein Bereich › Konto & Daten löschen“). Dabei werden deine Kontodaten, Bon-Daten und archivierten Bon-Fotos unverzüglich gelöscht, spätestens innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Wichtig: Die Löschung des Kontos beendet kein laufendes Abonnement. Abos müssen in den Einstellungen deiner Apple-ID bzw. in Google Play gekündigt werden.

Diese Webseite

Für die Webseite simsalabon.de gilt ergänzend Folgendes:

14. Empfänger

Personenbezogene Daten werden nur an die in dieser Erklärung genannten Dienstleister weitergegeben, die in unserem Auftrag tätig sind, sowie an Behörden, soweit wir gesetzlich dazu verpflichtet sind. Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.

15. Deine Rechte

Du hast nach der DSGVO folgende Rechte:

Zur Ausübung deiner Rechte genügt eine Nachricht an: cybite GmbH & Co. KG, hallo@simsalabon.de

16. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

17. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Die Bereitstellung von Daten ist nicht gesetzlich vorgeschrieben. Ohne E-Mail-Adresse ist eine Anmeldung, ohne Bon-Foto keine Bon-Prüfung möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Das KI-Ergebnis ist eine Hilfe für dich und hat keine rechtliche Wirkung.

18. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung ist in der App abrufbar.