Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Maximilian Kaes
Hauptstraße 82
5302 Henndorf am Wallersee, Österreich
E-Mail: mmck@tuta.com

Die Preisdatenbank („PDB") ist ein privates, nicht-kommerzielles Hobbyprojekt. Ein behördlich gemeldeter Datenschutzbeauftragter wurde nach derzeitiger Einschätzung nicht bestellt, da keine Pflicht dazu besteht (Art. 37 DSGVO); bei Fragen zum Datenschutz wende dich direkt an die obige E-Mail-Adresse.

2. Zweck der Anwendung und Geltungsbereich

Die PDB ermöglicht es Nutzerinnen und Nutzern, Produktpreise des Einzelhandels gemeinschaftlich zu erfassen und zu vergleichen. Diese Erklärung gilt für alle Nutzerinnen und Nutzer der Anwendung, unabhängig davon, ob sie sich in Österreich, Deutschland, Italien oder der Schweiz befinden. Für Personen in der Schweiz gelten die Besonderheiten in Abschnitt 11.

3. Registrierung und Nutzerkonto

Zur Nutzung eines eigenen Kontos werden Benutzername, E-Mail-Adresse und Passwort verarbeitet. Das Passwort wird ausschließlich als Hashwert gespeichert, niemals im Klartext. Nach der Registrierung ist die E-Mail-Adresse zu bestätigen; die Freischaltung des Kontos erfolgt anschließend durch eine berechtigte Person.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses) sowie lit. f (berechtigtes Interesse an der Absicherung der Registrierung gegen Missbrauch, u. a. durch eine Begrenzung der Registrierungsversuche je IP-Adresse).

4. Preisbeobachtungen und Produktdaten

Von Nutzerinnen und Nutzern gemeldete Preise, Produkte und Geschäfte werden gespeichert und öffentlich in der Anwendung angezeigt. Eine Preisbeobachtung kann optional dem meldenden Konto zugeordnet sein (u. a. zur Nachvollziehbarkeit bei mehrfacher Bestätigung durch verschiedene Personen).

Wird ein Konto gelöscht, werden die diesem Konto zugeordneten Preisbeobachtungen nicht gelöscht, sondern von der Kontoverknüpfung getrennt (Anonymisierung) – die sachlichen Preisdaten selbst bleiben als Grundlage der gemeinschaftlichen Preisdatenbank bestehen, ohne weiterhin einer Person zuordenbar zu sein.

5. Kassenbeleg scannen (Belegerkennung)

Beim optionalen Fotografieren oder Hochladen eines Belegs wird das Bild ausschließlich im Arbeitsspeicher des Servers verarbeitet, um Positionen und Preise automatisiert auszulesen. Das Bild wird nicht dauerhaft auf der Festplatte gespeichert, nicht zwischengespeichert und nicht gesichert (kein Cache, kein Backup) – es wird unmittelbar nach der Auswertung verworfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die freiwillige, aktive Nutzung dieser Funktion). Eine Nutzung der Anwendung ist auch ohne Kassenbeleg-Scan durch manuelle Eingabe möglich.

6. KI-gestützte Erkennung und Drittlandübermittlung

Zur automatisierten Erkennung von Beleginhalten sowie zur Vorschlagsfunktion für Produktmerkmale wird die Messages-API des Anbieters Anthropic (Anthropic PBC, USA) eingesetzt. Dabei werden im Fall des Kassenbeleg-Scans die Bilddaten des Belegs (siehe Abschnitt 5), im Fall der Merkmalserkennung Produktbezeichnungen und -kategorien an Anthropic übermittelt und dort zur Erzeugung des Erkennungsergebnisses verarbeitet.

Da Anthropic mit Sitz in den USA verarbeitet, handelt es sich um eine Datenübermittlung in ein Drittland. Nach aktuellem Stand (September 2026) ist Anthropics Data Processing Addendum (DPA) automatisch Bestandteil der für die API geltenden Commercial Terms of Service – es bedarf keiner gesonderten Unterschrift. Dieses DPA bindet die EU-Standardvertragsklauseln (2021er Fassung, Modul 2/3) sowie Anpassungen für Übermittlungen aus dem Vereinigten Königreich (UK International Data Transfer Addendum) und aus der Schweiz ein. Ergänzend ist Anthropic unter dem EU-US Data Privacy Framework zertifiziert.

Anthropic gibt zudem an, über die API übermittelte Ein- und Ausgabedaten nicht zum Training eigener Modelle zu verwenden. Da sich der genaue Vertragsstand ändern kann, ist der jeweils aktuelle Stand im eigenen Anthropic-Konto einsehbar; bei Fragen dazu wende dich an den Verantwortlichen (Abschnitt 1).

7. Cookies

Die Anwendung verwendet ausschließlich ein technisch notwendiges Sitzungscookie (preisdb_sitzung), um eine Anmeldung über mehrere Seitenaufrufe hinweg zu ermöglichen. Es wird mit den Schutzattributen HttpOnly, Secure und SameSite=Lax gesetzt, enthält keine Nachverfolgung und wird beim Abmelden gelöscht. Es werden keine Analyse-, Marketing- oder Drittanbieter-Cookies eingesetzt; eine Einwilligung ist für dieses rein technisch notwendige Cookie nicht erforderlich (§ 165 Abs. 3 TKG 2021 bzw. Art. 6 Abs. 1 lit. f DSGVO).

8. Server-Protokolldaten und IP-Adressen

Aus technischen Gründen werden IP-Adressen kurzzeitig zur Abwehr von Missbrauch verarbeitet (z. B. Begrenzung der Anzahl an Registrierungs- oder Anmeldeversuchen je IP-Adresse). Sicherheitsrelevante Vorgänge (u. a. Anmeldungen, Rechteänderungen, Löschungen) werden zusammen mit Zeitpunkt, Konto und IP-Adresse mindestens 90 Tage in einem Sicherheitsprotokoll aufgezeichnet, das ausschließlich berechtigten Personen zur Missbrauchserkennung zugänglich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Missbrauchsabwehr).

9. E-Mail-Versand

Die angegebene E-Mail-Adresse wird zur Bestätigung der Registrierung, für Rückmeldungen zu eingereichten Meldungen sowie für Rückfragen im Rahmen von Feedback genutzt. Der Versand erfolgt über den Standard-Mailversand des Hosting-Providers, bei dem die Anwendung betrieben wird.

10. Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden nur insoweit an Dritte weitergegeben, wie dies zum Betrieb der Anwendung erforderlich ist: an den Hosting-Provider (Speicherung/Betrieb der Anwendung und des Mailversands) sowie an Anthropic (siehe Abschnitt 6). Eine Weitergabe zu Werbezwecken findet nicht statt.

11. Besonderer Hinweis für Nutzerinnen und Nutzer aus der Schweiz

Für Personen in der Schweiz kann zusätzlich das revidierte Schweizer Datenschutzgesetz (revDSG) anwendbar sein. Die Grundprinzipien (Zweckbindung, Datensparsamkeit, Betroffenenrechte) entsprechen im Wesentlichen den oben beschriebenen. Die dargestellten Rechte (Abschnitt 12) stehen sinngemäß auch Personen in der Schweiz zu; Anfragen dazu bitte ebenfalls an die in Abschnitt 1 genannte E-Mail-Adresse richten.

12. Rechte der betroffenen Person

Du hast das Recht auf:

• Auskunft über die zu dir gespeicherten personenbezogenen Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung deiner Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Ein Konto lässt sich zudem jederzeit selbst über die Kontoeinstellungen löschen; die eigenen erfassten Daten können ebenfalls dort abgerufen werden.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren – in Österreich bei der Österreichischen Datenschutzbehörde, in Deutschland bei der für deinen Wohnsitz zuständigen Landesdatenschutzbehörde, in Italien beim Garante per la protezione dei dati personali oder – für die Schweiz – beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).