Datenschutzerklärung

Information gemäß Art. 13 DSGVO über die Verarbeitung personenbezogener Daten bei Culino. Stand: [Datum vor Live-Gang einsetzen].

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:

Dominik Wolfinger
Karl-Nieschlag-Gasse 9/2/9
1210 Wien, Österreich
E-Mail: dominik.wolfinger@techwolf.at

2. Welche Daten wir verarbeiten

2.1 Kontodaten

• Bei E-Mail-Registrierung: E-Mail-Adresse, Anzeigename, Passwort (nur als PBKDF2-Hash gespeichert, niemals im Klartext).

2.2 Inhaltsdaten

• Rezepte, Zutatenlisten, Zubereitungsschritte, Tags, Notizen, hochgeladene Bilder.
• Geteilte Kochbücher, Einkaufslisten, Wochenpläne, Swipe-Bewertungen.
• Sammler-Karten von Restaurants (Verknüpfung Nutzer ↔ gesammeltes Signature-Rezept).
• Bewertungen von Lokalen (Sterne je Kriterium, Ernährungs-Tag, „Würde wiederkommen", privater Freitext) sowie öffentlich sichtbare Gäste-Fotos und Antworten auf Fragen zur Ausstattung eines Lokals. Ohne öffentliches Kritiker-Profil erscheinen die Bewertungstexte nicht einzeln öffentlich. Mit aktiviertem Kritiker-Profil werden auch frühere Lokal-Bewertungen mit Anzeigename, Handle und Text im öffentlichen Profil und am Ort sichtbar. Nach Ausschalten und Speichern entfallen diese namentlichen Ansichten; die Bewertungen fließen weiter in Aggregate ein. Die separate Einwilligung zum KI-Gäste-Fazit erlaubt die zusammengefasste Nutzung des Textes und ist unabhängig vom Kritiker-Profil.
• Standort beim Bewerten (freiwillig): Wenn du es erlaubst, übermittelt dein Browser beim Absenden einer Bewertung einmalig deine Position. Wir prüfen daraus nur, ob du dich in der Nähe des Lokals befindest, und speichern ausschließlich die Verifikationsstufe („in der Nähe" / „vor Ort per QR" / „ohne Standort") — nie die Koordinaten.
• Restaurant-Konto-Daten (Restaurantname, Logo-URL, ggf. UID — sofern als Restaurant-Account angelegt).
• Community-Menükarten: Entwurf, Quell-URL oder das ursprüngliche Foto beziehungsweise PDF, Erfassungsdatum und Moderationsverlauf. Originaldateien sind nur für die beitragende Person und die Administration abrufbar, werden nicht öffentlich ausgeliefert und spätestens 180 Tage nach einem offenen oder zurückgegebenen Beitrag beziehungsweise 365 Tage nach Veröffentlichung gelöscht. Bei Kontolöschung werden unveröffentlichte Beiträge und Originaldateien gelöscht; veröffentlichte Karten bleiben ohne Personenbezug erhalten.

2.3 Verbindungs- und Nutzungsdaten

• Standard-Server-Logs: IP-Adresse, Zeitstempel, abgerufene URL, User-Agent, Referrer. Dienen der Betriebssicherheit (Fehleranalyse, Missbrauchsabwehr).
• Tageskontingente (Anzahl extrahierter Rezepte, Sprachnachrichten, Transkriptionen) zur Durchsetzung tarifabhängiger Nutzungslimits.

2.4 Zahlungsdaten

Zahlungen werden vollständig über Stripe Payments Europe Ltd. abgewickelt. Kartendaten, Kontodaten oder ähnliche sensible Zahlungsinformationen werden niemals an Culino übermittelt oder von uns gespeichert. Wir erhalten von Stripe nur: Customer-ID, Subscription-ID, Status und Laufzeit-Daten deines Abonnements.

3. Zwecke und Rechtsgrundlagen

4. Eingesetzte Dienstleister

Folgende Auftragsverarbeiter werden eingesetzt. Mit allen besteht (oder wird vor Live-Gang geschlossen) ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO:

Beim Hochladen einer URL (z.B. Instagram-Reel) wird diese URL an den jeweiligen Scraper weitergegeben, um den dort öffentlich verfügbaren Rezeptinhalt abzurufen. Die extrahierten Texte werden zur strukturierten Aufbereitung an die LLM-API übermittelt; die LLM-Antwort wird als Rezept in deinem Konto gespeichert. Es findet keine dauerhafte Speicherung beim LLM-Provider statt (kein Modell-Training mit deinen Daten gemäß den jeweiligen Geschäftsbedingungen der Anbieter).

5. Datenübermittlung in Drittländer

Einige der oben genannten Dienstleister sitzen außerhalb des Europäischen Wirtschaftsraums. Übermittlungen erfolgen auf folgender Grundlage:

• USA: Übermittlung erfolgt unter Berufung auf das EU-US Data Privacy Framework (sofern der jeweilige Anbieter zertifiziert ist) sowie auf Standardvertrags­klauseln gemäß Durchführungsbeschluss (EU) 2021/914.

Trotz dieser Schutzmechanismen kann nicht ausgeschlossen werden, dass Behörden in Drittländern Zugriff auf Daten verlangen. Mit Nutzung des Dienstes nimmst du diese Restrisiken in Kauf.

6. Speicherdauer

• Konto- und Inhaltsdaten: bis zur Löschung deines Kontos durch dich oder bis 24 Monate nach Inaktivität.
• Löschbelege für Backups: Nach einer Kontolöschung speichern wir für 16 Tage einen HMAC-pseudonymisierten Fingerabdruck der E-Mail-Adresse und der internen Konto-ID. So wird die Löschung auch dann erneut angewendet, wenn ein bis zu 14 Tage altes Notfall-Backup wiederhergestellt werden muss. Der Beleg erlaubt keine Kontowiederherstellung und wird danach automatisch entfernt.
• Server-Logs: typischerweise 14 Tage, danach anonymisiert/gelöscht.
• Sicherheitsvorfälle (Abwehr von Angriffen/Bots): strukturierte Protokolle erkannter Missbrauchsversuche (z. B. automatisierte Scans, Bot-Registrierungen) einschließlich IP-Adresse werden zur Netz- und Informationssicherheit (Art. 6 Abs. 1 lit. f DSGVO i. V. m. ErwGr. 49) bis zu 30 Tage aufbewahrt und dann automatisch gelöscht.
• Unbestätigte Registrierungen: bis zur E-Mail-Bestätigung, längstens 24 Stunden (danach automatisch gelöscht). Zur Missbrauchserkennung wird dabei die IP-Adresse der Registrierung gespeichert; mit der Bestätigung wird der Eintrag samt IP entfernt.
• Abrechnungs- und Buchhaltungsdaten: 7 Jahre gemäß § 132 BAO (gesetzliche Aufbewahrungspflicht — auch nach Konto­löschung).
• Passwort-Reset-Tokens: 1 Stunde Gültigkeit, danach automatisch invalidiert.

7. Cookies & lokaler Speicher

Culino verwendet ausschließlich technisch notwendige Cookies und localStorage-Einträge:

• app_session — verschlüsseltes JWT-Cookie zur Anmeldungs-Authentifizierung (30 Tage).
• localStorage-Einträge zur Speicherung von UI-Präferenzen (z.B. ausgeblendete Hinweis-Karten, lokale Kochmodus-Einstellungen). Keine Identifikation, kein Tracking.

Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt. Eine Cookie-Banner-Pflicht (§ 165 Abs. 3 TKG 2021) besteht daher nicht.

8. Deine Rechte

Du hast nach DSGVO folgende Rechte:

• Auskunft (Art. 15) über deine gespeicherten Daten
• Berichtigung (Art. 16) unrichtiger Daten
• Löschung (Art. 17) — über die Kontoeinstellungen ist Konto­löschung jederzeit möglich
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) — auf Anfrage per E-Mail
• Widerspruch (Art. 21) gegen Verarbeitungen auf Basis berechtigter Interessen
• Widerruf einer Einwilligung (Art. 7 Abs. 3), sofern eine solche erteilt wurde

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an dominik.wolfinger@techwolf.at.

Beschwerderecht

Du kannst dich jederzeit bei der Datenschutzbehörde Österreich beschweren:
Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien
Web: www.dsb.gv.at · E-Mail: dsb@dsb.gv.at

9. Datensicherheit

• TLS-Verschlüsselung (HTTPS) für alle Verbindungen.
• Passwörter werden ausschließlich als PBKDF2-SHA256-Hash mit Salt gespeichert.
• Session-Tokens werden als signierte JWTs in HttpOnly-Cookies übertragen.
• Datenbank-Zugriff nur über das interne Docker-Netzwerk, kein öffentlicher Port.
• Tägliche, verschlüsselt übertragene Offsite-Backups mit 14 Tagen Aufbewahrung.
• Kontolöschungen werden vor dem Start einer wiederhergestellten Datenbank erneut angewendet.

10. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Version ist unter Culino/datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.