Stand: Oktober 2026
Einkaufsliste („wir“, „uns“) ist eine Einkaufslisten-App für iOS und Android mit optionaler Synchronisierung und dem Teilen einzelner Listen. Diese Datenschutzerklärung erläutert, welche Daten wir erheben, wie wir sie verwenden und welche Rechte du hast.
Wir erfassen keine Standortdaten und keine Nutzungsanalytik. Wir verwenden kein Analyse- oder Tracking-SDK von Drittanbietern.
Deine Daten werden nicht für Werbung, Profiling oder den Verkauf an Dritte verwendet.
Deine Daten werden an zwei Orten gespeichert:
E-Mail-Versand (Resend): Bestätigungs- und Passwort-Zurücksetzen-E-Mails versenden wir über Resend (Resend, Inc., USA). Resend erhält dafür deine E-Mail-Adresse und den Inhalt der E-Mail; der Versand läuft über Server in der EU (Irland). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Resend ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Siehe resend.com/legal/privacy-policy.
Wählst du beim Hinzufügen eines Artikels einen Produktvorschlag, wird ein Link zum Produktbild von Open Food Facts mit dem Artikel gespeichert und synchronisiert. Jedes Gerät, das die Liste anzeigt, lädt dieses Bild direkt von den Servern von Open Food Facts; dabei wird die IP-Adresse des Geräts an Open Food Facts übermittelt. Eigene Fotos kannst du in der App nicht hinzufügen; wir speichern keine Bilddateien.
Beim Hinzufügen eines Artikels schlägt dir die App passende Produkte vor. Dazu wird deine Eingabe an die Suchschnittstelle von Open Food Facts (search.openfoodfacts.org) übermittelt, einer offenen, gemeinnützigen Lebensmittel-Datenbank. Es werden dabei keine Konto- oder Profildaten übertragen, lediglich der von dir eingegebene Suchtext sowie technisch notwendige Verbindungsdaten (z. B. IP-Adresse). Auch beim Anzeigen von Produktbildern wird die IP-Adresse deines Geräts an Open Food Facts übermittelt (siehe Abschnitt 5).
Bist du angemeldet, kannst du Artikel per Sprache diktieren. Das Mikrofon wird nur verwendet, nachdem du in der App auf das Mikrofon-Symbol getippt hast, und nur bis die Aufnahme endet. Die Umwandlung deiner Sprache in Text übernimmt der Spracherkennungsdienst deines Betriebssystems (Apple auf iOS, Google auf Android); je nach Gerät und Sprache geschieht das auf dem Gerät oder auf Servern von Apple bzw. Google nach deren Datenschutzbestimmungen. Die App selbst lädt keine Audioaufnahmen hoch und speichert keine.
Den erkannten Text (höchstens 500 Zeichen), deine App-Sprache und den Namen der geöffneten Liste sendet die App an unseren Server (Supabase, siehe Abschnitt 4). Dieser ermittelt daraus mithilfe eines KI-Modells von Anthropic die Artikel mit Menge und Einheit. Vertragspartner und Auftragsverarbeiter ist Anthropic Ireland, Limited (Dublin, Irland). Verarbeitet werden die Daten auf Servern von Anthropic, PBC in den USA; die Berechnung durch das Modell kann auch in anderen Ländern außerhalb der EU stattfinden. Anthropic verwendet diese Daten nicht zum Training seiner Modelle. Übermittlungen außerhalb der EU stützen sich auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil von Anthropics Auftragsverarbeitungsvertrag sind. Anthropic löscht den Text und das Ergebnis automatisch innerhalb von 30 Tagen; nur wenn seine automatischen Sicherheitssysteme eine Anfrage als Verstoß gegen seine Nutzungsrichtlinien markieren, kann Anthropic sie bis zu 2 Jahre aufbewahren. Siehe Auftragsverarbeitungsvertrag von Anthropic. Wir selbst speichern und protokollieren den Text nicht; die erkannten Artikel werden erst gespeichert, wenn du sie in der App bestätigst.
Zum Schutz vor Missbrauch ist die Spracheingabe auf 50 Anfragen pro Tag begrenzt. Dafür speichern wir deine Nutzer-ID, das Datum (UTC) und die Anzahl deiner Anfragen an diesem Tag.
Wir nutzen Firebase Cloud Messaging (FCM), einen Dienst von Google, zur Zustellung von Push-Benachrichtigungen zu geteilten Listen (z. B. wenn jemand eine Liste mit dir teilt). Dazu registriert das in der App enthaltene Firebase-SDK bei jedem App-Start, auch ohne Konto, eine Firebase-Installations-ID und ein Gerätetoken bei Google; dabei erhält Google die IP-Adresse deines Geräts. Auf unserem Server speichern wir das Token erst, wenn du angemeldet bist. Auf iOS-Geräten wird die Benachrichtigung über den Apple Push Notification Service (APNs) zugestellt. Es werden keine Inhalte deiner Einkaufslisten über Firebase übertragen — lediglich eine kurze Benachrichtigungsnachricht mit dem Listennamen (z. B. „‚Wocheneinkauf‘ wurde mit dir geteilt“) und ein Hinweis, welche Liste beim Antippen geöffnet wird. Verlässt jemand deine Liste, enthält die Nachricht zusätzlich dessen Anzeigenamen oder, falls keiner hinterlegt ist, dessen E-Mail-Adresse. Dabei können Daten in die USA übermittelt werden; Google ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Weitere Informationen findest du in der Datenschutzrichtlinie von Google. Du kannst Push-Benachrichtigungen jederzeit in den Einstellungen deines Betriebssystems deaktivieren.
Bei der Anmeldung mit Google oder Apple gelten zusätzlich deren Datenschutzrichtlinien. Wir erhalten dabei deinen Namen, deine E-Mail-Adresse und eine Kennung deines Kontos beim Anbieter (bei Google zusätzlich ggf. dein Profilbild) — dein Passwort wird nicht übermittelt. Dabei können Daten in die USA übermittelt werden. Google ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; Apple stützt solche Übermittlungen auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
Wir verkaufen, vermieten oder teilen deine personenbezogenen Daten nicht zu Marketingzwecken mit Dritten. Wir verwenden keine Werbe-SDKs. Wenn du eine Liste teilst, sind ihre Inhalte, der Aktivitätsverlauf sowie Anzeigename und Profilbild der Beteiligten für alle sichtbar, die Zugriff auf diese Liste haben — das ist der Kernzweck der Freigabefunktion. E-Mail-Adressen eingeladener Personen sieht nur die Person, der die Liste gehört. Für die Spracheingabe setzen wir Anthropic als Auftragsverarbeiter ein (siehe Abschnitt 7).
Du kannst dein Konto und alle zugehörigen Daten jederzeit dauerhaft löschen. Gehe dazu in der App auf Mehr → Einstellungen → Profil → Konto löschen. Alle deine Listen (samt ihrer Freigaben und QR-Codes), Artikel, Kategorien, deine Zugriffe auf Listen anderer, deine Push-Token und dein Zähler für die Spracheingabe werden sofort und unwiderruflich aus unserer Datenbank gelöscht (zu Protokollen und Sicherungen siehe Abschnitt 12); zusätzlich werden bestehende Anmeldeberechtigungen bei Google/Apple widerrufen. Artikel, die du zu einer Liste einer anderen Person hinzugefügt hast, bleiben auf dieser Liste und gehören danach der Person, der die Liste gehört; ihre Verlaufseinträge bleiben ohne deinen Namen erhalten. Auf den Geräten anderer Beteiligter können dein Anzeigename und der Link zu deinem Profilbild in deren lokalem Speicher verbleiben, bis sie sich abmelden.
Wir speichern deine Konto-, Einkaufs- und Freigabedaten, solange dein Konto besteht. Nach Löschung deines Kontos werden alle zugehörigen Daten sofort aus unserer Datenbank entfernt (siehe Abschnitt 11).
Wenn du dich in der EU oder im EWR befindest, hast du folgende Rechte bezüglich deiner personenbezogenen Daten:
Um deine Rechte auszuüben, kontaktiere uns unter der unten angegebenen Adresse.
Einkaufsliste richtet sich nicht gezielt an Kinder unter 16 Jahren. Wir erheben wissentlich keine Kontodaten von Kindern unter 16 Jahren.
Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Das „Stand“-Datum oben gibt die letzte Überarbeitung an. Die weitere Nutzung der App nach einer Aktualisierung stellt keine stillschweigende Zustimmung zu wesentlichen Änderungen dar.
Wir hosten diese Website bei dem Anbieter Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) über dessen Dienst Cloudflare Pages. Wenn du diese Website besuchst, werden deine Verbindungsdaten (z. B. IP-Adresse) durch Cloudflare verarbeitet. Dies ist technisch zwingend notwendig, um die Website sicher, fehlerfrei und zuverlässig auszuliefern.
Übergangsweise ist diese Website zusätzlich unter der früheren Adresse smartkauf.netlify.app erreichbar, die der Anbieter Netlify (Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA) ausliefert; ältere Versionen der App öffnen diese Adresse. Wenn du sie aufrufst, werden deine Verbindungsdaten (z. B. IP-Adresse) durch Netlify verarbeitet.
Die Rechtsgrundlage für die Datenverarbeitung ist unser berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO an einer technisch einwandfreien Darstellung unserer Website. Cloudflare und Netlify sind nach dem EU-US Data Privacy Framework (DPF) zertifiziert, wodurch die Einhaltung des europäischen Datenschutzniveaus bei der Datenübermittlung in die USA gewährleistet wird.
Diese Website verwendet keine Cookies, kein Tracking und kein Analyse-Skript. Das einzige eingebundene JavaScript dient der Sprachumschaltung dieser Seite: Es liest die Spracheinstellung deines Browsers und speichert die gewählte Sprache im lokalen Speicher deines Browsers (localStorage), damit sie beim nächsten Besuch erhalten bleibt. Diese Speicherung ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Angabe verlässt deinen Browser nicht.
Wenn du die App über den Apple App Store oder Google Play installierst, verarbeiten Apple bzw. Google zusätzlich eigene Daten (z. B. Gerätekennung) gemäß ihrer jeweiligen Datenschutzerklärung. Diese Verarbeitung liegt außerhalb unserer Kontrolle. Siehe apple.com/legal/privacy bzw. policies.google.com/privacy.
Verantwortlicher im Sinne der DSGVO:
Denis Makarau
Grünecker Str. 13
85375 Neufahrn
Deutschland
Fragen zum Datenschutz? Kontaktiere uns unter: denis@makarau.com
Last updated: October 2026
Einkaufsliste ("we", "our", or "us") is a shopping list app for iOS and Android with optional cloud sync and sharing of individual lists. This policy explains what data we collect, how we use it, and your rights.
We do not collect location data or usage analytics. We do not use any third-party analytics or tracking SDK.
Your data is never used for advertising, profiling, or sold to third parties.
Your data is stored in two places:
Email delivery (Resend): Account confirmation and password reset emails are sent through Resend (Resend, Inc., USA). Resend receives your email address and the content of the email for this purpose; sending runs on servers in the EU (Ireland). The legal basis is Art. 6(1)(b) GDPR. Resend is certified under the EU-US Data Privacy Framework (DPF). See resend.com/legal/privacy-policy.
When you pick a product suggestion while adding an item, a link to the product's image on Open Food Facts is saved with the item and synced. Every device that shows the list loads that image directly from Open Food Facts servers, which receive the device's IP address. You cannot add your own photos in the app; we do not store any image files.
When adding an item, the app suggests matching products. To do this, your typed query is sent to the search interface of Open Food Facts (search.openfoodfacts.org), an open, non-profit food database. No account or profile data is transmitted — only the search text you typed and technically necessary connection data (e.g. IP address). Showing product images also sends your device's IP address to Open Food Facts (see section 5).
When you are signed in, you can dictate items. The microphone is used only after you tap the microphone button in the app, and only until the recording ends. Your speech is turned into text by your operating system's speech recognition service (Apple on iOS, Google on Android); depending on the device and language this happens on the device or on Apple's or Google's servers, under their privacy policies. The app itself does not upload or store any audio.
The app sends the recognised text (at most 500 characters), your app language and the name of the open list to our server (Supabase, see section 4), which uses an AI model from Anthropic to find the items with their quantity and unit. Our contracting partner and processor is Anthropic Ireland, Limited (Dublin, Ireland). The data is processed on servers of Anthropic, PBC in the USA, and the model computation may also run in other countries outside the EU. Anthropic does not use this data to train its models. Transfers outside the EU rely on the European Commission's Standard Contractual Clauses (Art. 46(2)(c) GDPR), which are part of Anthropic's data processing agreement. Anthropic deletes the text and the result automatically within 30 days. Only if its automated safety systems flag a request as violating its usage policy may Anthropic keep it for up to 2 years. See Anthropic's data processing agreement. We do not store or log the text ourselves; the recognised items are only saved once you confirm them in the app.
To prevent abuse, voice input is limited to 50 requests per day. For this we store your user ID, the date (UTC) and the number of your requests on that day.
We use Firebase Cloud Messaging (FCM), a Google service, to deliver push notifications about shared lists (e.g. when someone shares a list with you). For this, the Firebase SDK in the app registers a Firebase installation ID and a device token with Google every time the app starts, even without an account; Google receives your device's IP address in the process. We store the token on our server only once you are signed in. On iOS devices, delivery goes through the Apple Push Notification service (APNs). No shopping list content is transmitted via Firebase — only a short notification message with the list's name (e.g. "'Weekly shop' was shared with you") and which list to open when you tap it. When someone leaves your list, the message also contains their display name or, if none is set, their email address. Data may be transferred to the USA in the process; Google is certified under the EU-US Data Privacy Framework (DPF). See Google's Privacy Policy for more information. You can disable push notifications at any time in your device's system settings.
When signing in with Google or Apple, their respective privacy policies also apply. We receive your name, your email address, and an identifier of your account with the provider (and, with Google, optionally your profile photo) — we never receive your password. Data may be transferred to the USA in the process. Google is certified under the EU-US Data Privacy Framework (DPF); Apple bases such transfers on the European Commission's Standard Contractual Clauses (Art. 46(2)(c) GDPR).
We do not sell, rent, or share your personal data with third parties for marketing purposes. We do not use advertising SDKs. When you share a list, its contents, its activity history, and the participants' display names and profile photos are visible to everyone with access to that list — that is the core purpose of the sharing feature. Invited people's email addresses are visible only to the list's owner. For voice input we use Anthropic as a processor (see section 7).
You can permanently delete your account and all associated data at any time. Go to More → Settings → Profile → Delete Account in the app. All your lists (including their shares and QR codes), items, categories, your access to other people's lists, your push tokens, and your voice input counter are deleted immediately and irreversibly from our database (for logs and backups, see section 12); any existing Google/Apple sign-in authorizations are also revoked. Items you added to someone else's list stay on that list and then belong to the list's owner; their history entries remain without your name. Other participants' devices may keep your display name and the link to your profile photo in their local storage until they sign out.
We store your account, shopping, and sharing data for as long as your account exists. After you delete your account, all associated data is removed from our database immediately (see section 11).
If you are located in the EU or EEA, you have the following rights regarding your personal data:
To exercise these rights, contact us at the address below.
Einkaufsliste is not specifically directed at children under 16. We do not knowingly collect account data from children under 16.
We may update this policy from time to time. The "Last updated" date at the top reflects the most recent revision. Continued use of the app after an update does not constitute implicit consent to material changes.
We host this website using the provider Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) through its Cloudflare Pages service. When you visit this website, your connection data (e.g. IP address) is processed by Cloudflare. This is technically strictly necessary to deliver the website securely, flawlessly, and reliably.
For a transition period, this website is also available at its former address smartkauf.netlify.app, served by the provider Netlify (Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA); older versions of the app open this address. When you visit it, your connection data (e.g. IP address) is processed by Netlify.
The legal basis for this data processing is our legitimate interest in the technically flawless presentation of our website according to Art. 6(1)(f) GDPR. Cloudflare and Netlify are certified under the EU-US Data Privacy Framework (DPF), which ensures compliance with European data protection standards for data transfers to the USA.
This website does not use cookies, tracking, or analytics scripts. The only JavaScript included is for this page's language toggle: it reads your browser's language setting and saves the language you choose in your browser's local storage (localStorage) so it is kept on your next visit. This storage is strictly necessary for the function you requested (Section 25(2) no. 2 TDDDG); the value never leaves your browser.
If you install the app via the Apple App Store or Google Play, Apple and Google respectively process their own data (e.g. device identifiers) under their own privacy policies. This processing is outside our control. See apple.com/legal/privacy and policies.google.com/privacy.
Data controller under GDPR:
Denis Makarau
Grünecker Str. 13
85375 Neufahrn
Germany
Questions about this policy? Contact us at: denis@makarau.com