Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Mike Hannweber, Hannweber Studios, Rankenstr. 2, 59387 Ascheberg

E-Mail: kontakt@sparlama.app

Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht besteht.

Für die Nutzung von Neukundenangeboten und Stempelkarten ist ein Nutzerkonto erforderlich. Die Anmeldung ist per E-Mail-Adresse und Passwort, per Google-Login oder per Apple-Login („Sign in with Apple") möglich.

• Verarbeitete Daten: E-Mail-Adresse, Anzeigename, verschlüsseltes Passwort (bei E-Mail-Login), Google-Konto-ID und verifizierte E-Mail (bei Google-Login), Apple-ID sowie Name (nur sofern beim ersten Login freigegeben) und ggf. anonymisierte Relay-E-Mail-Adresse (bei Apple-Login), Zeitpunkt der Anmeldung.
• Zweck: Bereitstellung des Nutzerkontos, Authentifizierung, Zuordnung von Stempeln und eingelösten Angeboten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Google-Login: Beim Login mit Google werden die Google-Datenschutzhinweise wirksam (policies.google.com/privacy). Es werden nur die für die Anmeldung nötigen Daten übertragen (E-Mail, Name, Profilbild sofern vorhanden).

Apple-Login („Sign in with Apple"): Beim Login mit Apple werden die Apple-Datenschutzhinweise wirksam (apple.com/legal/privacy). Übertragen werden deine Apple-ID, dein Name (nur, sofern du ihn beim ersten Login freigibst) sowie deine E-Mail-Adresse. Wenn du die Funktion „E-Mail verbergen" nutzt, erhalten wir statt deiner echten Adresse eine anonymisierte Apple-Relay-Adresse (@privaterelay.appleid.com), über die wir dich weiterhin kontaktieren können. Gibst du deinen Namen nicht frei, verwenden wir einen neutralen Anzeigenamen (z. B. „Sparlama-Nutzer"), den du im Profil jederzeit ändern kannst.

Die App wird über unseren Dienstleister Lovable (Lovable Labs Incorporated, 1111b South Governors Avenue, Dover, DE 19904, USA; EU-Kontakt: Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden) betrieben, der als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO für uns tätig ist. Lovable setzt für Datenbank, Authentifizierung und Dateispeicher den Dienst Supabase als Unterauftragsverarbeiter ein. Die Speicherung der Konto- und Nutzungsdaten erfolgt auf Servern in der EU.

Zweck: Bereitstellung der App und der von dir gewünschten Konto-Funktionen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Server-Logfiles: Beim Aufruf der App werden automatisch technische Zugriffsdaten verarbeitet (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp und Betriebssystem, Referrer-URL). Diese Daten dienen der Auslieferung der Inhalte sowie der Stabilität und Sicherheit des Betriebs (z. B. Erkennung von Missbrauch und Angriffen). Sie werden nur so lange gespeichert, wie es für diese Zwecke erforderlich ist, und anschließend gelöscht oder anonymisiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb).

Für die Umkreissuche wird als Zentrum der von dir gewählte Ort (z. B. Werne) verwendet – dieser wird lokal in deinem Browser gespeichert (siehe Punkt 7). Ein Zugriff auf deine GPS-Position erfolgt nicht automatisch. Wenn du zukünftig einer Standortermittlung zustimmst, wird dein Gerätestandort ausschließlich clientseitig genutzt und nicht an den Server übertragen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Kartenanzeige: Für die Kartenanzeige nutzen wir die Kartenkacheln der OpenStreetMap Foundation (OSMF, St John's Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich; tile.openstreetmap.org). Beim Laden der Karte wird deine IP-Adresse technisch bedingt an den Kartenserver übertragen, um die Kachel-Bilder auszuliefern (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer nutzbaren Umkreissuche). Die Server der OSMF stehen in der EU und im Vereinigten Königreich; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Ein API-Key oder ein Konto bei einem kommerziellen Kartenanbieter wird nicht verwendet. Attribution: © OpenStreetMap-Mitwirkende. Für das Geocoding von Betriebsadressen nutzen wir zusätzlich den Dienst Nominatim (OpenStreetMap).

Navigation: Wenn du die Funktion „Route starten" nutzt, öffnest du aktiv die auf deinem Gerät installierte Karten-/Navigations-App eines Drittanbieters (z. B. Google Maps, Apple Maps). Dabei gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Die Übermittlung erfolgt nur durch deinen aktiven Klick.

Wenn du Angebote einlöst oder Stempel sammelst, werden folgende Daten mit deinem Konto verknüpft: Betrieb, Stempelkarte, aktueller Stempelstand, Zeitpunkt der Aktion sowie die Einlösung von Neukundenangeboten (einmalig pro Betrieb). Favoriten-Einträge werden ebenfalls deinem Konto zugeordnet.

Zweck: Bereitstellung der Funktion. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden gelöscht, wenn du dein Konto löschst.

Die Fotos auf den Profilseiten werden in der Regel von uns vor Ort im Betrieb aufgenommen oder vom Betrieb bereitgestellt und von uns in die App eingestellt. Sie liegen in einem öffentlich abrufbaren Speicher unseres Auftragsverarbeiters. Partnerbetriebe sichern vertraglich zu, dass sie an bereitgestellten Bildern die erforderlichen Rechte besitzen und dass abgebildete Personen (z. B. Mitarbeitende) mit der Veröffentlichung einverstanden sind. Bei Hinweisen auf Rechtsverletzungen entfernen wir betroffene Bilder.

Wir setzen ausschließlich technisch notwendige Cookies bzw. lokale Speicher-Einträge ein (§ 25 Abs. 2 TDDDG):

• Login-Session (Supabase Auth) – zur Aufrechterhaltung deiner Anmeldung.
• Gewählter Ort – lokal gespeichert, um deinen Feed zu filtern.
• Einstellung des Cookie-Hinweises – damit der Hinweis nicht bei jedem Besuch erneut erscheint.

Ein Tracking- oder Werbe-Cookie wird derzeit nicht gesetzt. Sollten wir später Analyse- oder Marketing-Dienste einsetzen, werden diese erst nach deiner ausdrücklichen Einwilligung geladen.

Du kannst Push-Benachrichtigungen zu neuen Deals aktivieren – in der mobilen App (iOS/Android) und im Web-Browser (PWA). Die Berechtigung wird ausschließlich auf deine ausdrückliche Aktivierung hin angefragt (Schalter im Profil) – nicht automatisch.

• Verarbeitete Daten (App): ein vom Betriebssystem erzeugter Geräte-Token (iOS: APNs, Android: Firebase Cloud Messaging / FCM), Plattform sowie Aktivierungsstatus.
• Verarbeitete Daten (Web-Push): ein vom Browser erzeugter Push-Endpoint (z. B. bei Mozilla/Google/Apple), zwei öffentliche Schlüssel (p256dh, auth) sowie Aktivierungsstatus. Diese Daten sind ausschließlich zur Zustellung an deinen Browser bestimmt und enthalten keine direkten Personendaten.
• Zweck: Zustellung von Benachrichtigungen zu neuen Angeboten in deinem gewählten Ort.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie § 25 Abs. 1 TDDDG. Widerruf jederzeit im Profil oder in den Systemeinstellungen möglich.
• Dienstleister: Google Firebase Cloud Messaging (Google Ireland Ltd.) für App-Push auf Android; Apple Push Notification service (Apple Distribution International Ltd.) für App-Push auf iOS; die browsereigenen Push-Dienste (Mozilla, Google, Apple, Microsoft) für Web-Push. Beim Versand einer Nachricht wird der jeweilige Token bzw. Endpoint an den zuständigen Dienst übermittelt.

Deaktivierst du Push, werden deine gespeicherten Tokens/Endpoints entwertet und beim Löschen deines Kontos vollständig entfernt.

Ist dein Ort noch nicht freigeschaltet, kannst du dich mit deiner E-Mail-Adresse und Postleitzahl auf die Warteliste setzen. Wir verwenden das Double-Opt-in-Verfahren: Du erhältst zunächst eine Bestätigungs-E-Mail; erst nach Klick auf den Bestätigungslink wird dein Eintrag aktiv.

• Verarbeitete Daten: E-Mail-Adresse, Postleitzahl/Ort, Bestätigungsstatus, Zeitpunkte von Eintragung und Bestätigung.
• Zweck: Benachrichtigung, sobald Sparlama in deinem Ort verfügbar ist.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst die Einwilligung jederzeit über den Abmeldelink in der E-Mail oder formlos per E-Mail an uns widerrufen.
• Speicherdauer: Nicht bestätigte Einträge werden nach 30 Tagen automatisch gelöscht. Bestätigte Einträge löschen wir spätestens 30 Tage nach der Benachrichtigung über den Start in deinem Ort oder unmittelbar nach deinem Widerruf.

Wenn du uns über das Kontaktformular (z. B. auf der Seite „Für Betriebe") eine Anfrage schickst, verarbeiten wir die von dir angegebenen Daten (Name, ggf. Betrieb, Telefonnummer oder E-Mail-Adresse, Nachricht) zur Bearbeitung deiner Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertragsschluss gerichtet ist (z. B. Partnerschafts-Anfrage eines Betriebs), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: Wir löschen die Anfrage spätestens 6 Monate nach abschließender Bearbeitung, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. für Geschäftsbriefe) eine längere Speicherung erfordern.

Wenn ein Betrieb eine Partnerschaft mit Sparlama abschließt, verarbeiten wir Daten des Betriebs und der vertretungsberechtigten Person: Name des Betriebs, Anschrift, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Umsatzsteuer-Identifikationsnummer sowie die Vertragsinhalte (Tarif, vereinbarte Angebote, Öffnungszeiten, Fotos). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Profilbezogene Angaben werden in der App veröffentlicht.

Zahlungsabwicklung über Stripe: Die Partnergebühr wird über den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, per SEPA-Lastschrift eingezogen. Bei der Aktivierung gibt der Betrieb seine Zahlungsdaten (Kontoinhaber, IBAN, Rechnungsadresse, ggf. USt-IdNr.) direkt bei Stripe ein. Die IBAN wird ausschließlich von Stripe verarbeitet und uns nicht übermittelt; wir erhalten Kunden- und Abonnement-Kennungen, Zahlungsstatus, Rechnungen und die Rechnungsadresse. Stripe berechnet die Umsatzsteuer anhand der Rechnungsadresse (Stripe Tax). Stripe ist für die Zahlungsabwicklung eigenständig Verantwortlicher und in Teilen unser Auftragsverarbeiter (Vertrag nach Art. 28 DSGVO). Weitere Informationen: stripe.com/de/privacy. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Vertrags- und Zahlungsdaten speichern wir für die Dauer der Partnerschaft und darüber hinaus, soweit gesetzliche Aufbewahrungspflichten bestehen (zehn Jahre für Rechnungen und Buchungsbelege, § 147 AO, § 14b UStG). Profil- und Angebotsdaten entfernen wir mit Vertragsende aus der App.

Als angemeldeter Nutzer erhältst du einen persönlichen Empfehlungslink bzw. -code, über den du Sparlama weiterempfehlen kannst.

• Verarbeitete Daten: dein Empfehlungscode, die Zuordnung zwischen dir und den über deinen Link registrierten Konten, der Status der Empfehlung (z. B. erfolgreiche Aktivierung durch erste Einlösung) sowie die Anzahl deiner erfolgreichen Empfehlungen.
• Zweck: Abwicklung des Empfehlungsprogramms, Gutschrift von Prämien und Verhinderung von Missbrauch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Programms als Teil der Kontofunktionen).
• Die Daten werden gelöscht, wenn du dein Konto löschst. Die geworbene Person sieht nicht, welche weiteren Personen du geworben hast; du siehst keine Kontodaten der geworbenen Person.

Sparlama startet regional Schritt für Schritt. Bei der Registrierung fragen wir deine Postleitzahl ab, um festzustellen, ob wir in deiner Region bereits aktiv sind (Umkreis von 25 km um eine aktive Stadt). Die PLZ wird lokal in einer eigenen Nachschlagetabelle abgeglichen; es findet kein externes Geocoding statt.

• Verarbeitete Daten: deine Postleitzahl (5 Ziffern), im Konto gespeichert, um passende regionale Angebote zu zeigen.
• Zweck: Prüfung der Verfügbarkeit und Zuordnung deines Kontos zur nächsten aktiven Region.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Bist du außerhalb einer aktiven Region, kannst du dich auf die Warteliste setzen lassen – Details dazu findest du im Abschnitt „Warteliste für neue Orte".

Einige der von uns eingesetzten Dienstleister haben ihren Sitz außerhalb der EU bzw. des EWR. Dies betrifft insbesondere unseren Hosting-Dienstleister Lovable Labs Incorporated (USA) sowie die OpenStreetMap Foundation (Vereinigtes Königreich, Kartenkacheln – Angemessenheitsbeschluss der EU-Kommission) und – bei Login und Push-Zustellung – Google und Apple sowie – bei der Zahlungsabwicklung mit Partnerbetrieben – Stripe (Konzernunternehmen in den USA, abgesichert durch EU-Standardvertragsklauseln). Soweit dabei personenbezogene Daten in Drittländer übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (insbesondere des EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist) oder auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Mit Lovable sind die EU-Standardvertragsklauseln als Bestandteil des Auftragsverarbeitungsvertrags vereinbart.

Du hast nach der DSGVO folgende Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) sowie Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zusätzlich hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Konto- und Nutzungsdaten werden gespeichert, solange dein Konto besteht. Du kannst dein Konto jederzeit selbst direkt in der App löschen: unter Profil → Konto & Sicherheit → Konto löschen. Dabei werden dein Nutzerkonto sowie die zugeordneten Stempel-, Einlöse-, Favoriten- und Push-Daten unwiderruflich entfernt. Aggregierte, nicht mehr personenbeziehbare Statistikwerte können erhalten bleiben. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungsdaten bei Partnerbetrieben) bleiben unberührt.

Für Anfragen zum Datenschutz erreichst du uns über die im Impressum genannte E-Mail-Adresse.