Datenschutzerklärung

Entwurf, Stand 13.10.2026. TODO(legal): vor Veröffentlichung rechtlich prüfen.

1. Verantwortlicher

Kolmira UG (haftungsbeschränkt)
Weißenfelser Ring 8
70806 Kornwestheim
Deutschland
E-Mail: [email protected]

2. Geltungsbereich

Tomli ist eine Einkaufslisten-App für Haushalte. Diese Erklärung gilt für die App und die Website.

3. Diese Website

• Daten: IP-Adresse, Zeitpunkt, aufgerufene Seite und Browser-Kennung (Zugriffsdaten).
• Zweck: Wir liefern die Seite sicher aus (Art. 6 Abs. 1 lit. f DSGVO).
• Empfänger: Cloudflare, Inc., unser Hosting-Anbieter.
• Dauer: Cloudflare, Inc. nennt keine feste Speicherdauer. Wir werten die Zugriffsdaten nicht aus.

Die Website besteht aus statischen Seiten und verwendet keine Cookies. Die Schrift liefern wir selbst aus.

4. Die App

Gerät und Anmeldung

• Daten: Beim ersten Start erzeugt die App eine zufällige Geräte-Kennung und einen geheimen Geräteschlüssel. Der Server speichert die Kennung, einen Hash des Schlüssels, ein Sitzungstoken (ebenfalls als Hash) und den eingegebenen Anzeigenamen. Bei einer Anmeldung mit Apple kommen Apples Nutzerkennung und ein Zugriffstoken hinzu.
• Zweck: Wir ordnen Geräte einem Haushalt zu und widerrufen die Anmeldung bei Apple, wenn das Konto gelöscht wird (Art. 6 Abs. 1 lit. b DSGVO).
• Empfänger: Fly.io; bei einer Anmeldung mit Apple auch Apple. Die Mitglieder des Haushalts sehen den Anzeigenamen.
• Dauer: bis zur Löschung des Kontos (Abschnitt 6).

Liste und Haushalt

• Daten: Einträge, Mengen, Notizen, Preise, angelegte Läden (Name, Kette, Standort) und Angaben dazu, wer Einträge hinzugefügt oder abgehakt hat.
• Zweck: Alle Geräte eines Haushalts zeigen dieselbe Liste (Art. 6 Abs. 1 lit. b DSGVO).
• Empfänger: Fly.io; die Mitglieder des Haushalts.
• Dauer: bis der Haushalt gelöscht wird.

Standort

• Daten: Die App fragt den Standort nur ab, solange sie geöffnet ist und die Standortfreigabe in iOS erteilt wurde. Die Freigabe ist freiwillig und lässt sich jederzeit in den iOS-Einstellungen zurücknehmen; ohne sie bleibt die App nutzbar, nur ohne Ladenerkennung. Die Erkennung eines Ladenbesuchs erfolgt auf dem Gerät. Beim Anlegen eines Ladens wird dessen Standort mit den Haushaltsdaten gespeichert. Für die Suche nach Gangfolgen und Preisen sendet die App den Ladenstandort an den Server, der ihn sofort auf ein Raster von etwa 1 km vergröbert.
• Zweck: Tomli erkennt Läden und findet passende Gangfolgen und Preise, wenn die Standortfunktion genutzt wird (Art. 6 Abs. 1 lit. b DSGVO).
• Empfänger: Fly.io.
• Dauer: Der Standort eines Ladens bleibt gespeichert, bis der Haushalt gelöscht wird.

Geteilte Gangfolgen und Preise

Die Einstellung „Layouts und Preise teilen“ ist standardmäßig eingeschaltet.

• Daten: In welcher Reihenfolge Kategorien abgehakt wurden, von Hand sortierte Reihenfolgen und eingetragene Preise, je Ladenkette und 1-km-Raster, mit einer Haushaltskennung. Was Tomli von Gangschildern liest (Beschriftung, Kategorien), speichern wir bei eingeschaltetem Teilen ohne Haushaltskennung. Wegen der Haushaltskennung sind die Beiträge pseudonymisiert, nicht anonym.
• Zweck: bessere Sortierung und typische Preise für alle (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
• Empfänger: Fly.io. Andere Haushalte sehen nur zusammengefasste Ergebnisse. Diese sind auch ohne eigene Beiträge verfügbar.
• Dauer: Abgehakte Einkäufe löschen wir nach 270 Tagen, Preise nach 400 Tagen. Von Hand sortierte Reihenfolgen bleiben, bis der Haushalt gelöscht wird.

Widerspruch (Art. 21 DSGVO): Das Teilen lässt sich in den Einstellungen ausschalten. Danach werden keine neuen Beiträge dieses Kontos in die gemeinsame Auswahl aufgenommen, auch wenn das Teilen später wieder eingeschaltet wird. Die Einstellung gilt für das jeweilige Konto, nicht für andere Mitglieder des Haushalts. Bisherige Beiträge löschen wir auf Anfrage an [email protected].

Fotos scannen

Die Scanfunktion verarbeitet Rezepte, Gerichte, Kassenbons (als Foto oder PDF) und Gangschilder.

• Daten: das Foto oder PDF. Auf einem Kassenbon steht alles, was darauf gedruckt ist, etwa Filiale, Datum und Zahlungsart.
• Zweck: Tomli liest Zutaten, Preise und Gänge aus. Die Verarbeitung erfolgt, wenn die Funktion genutzt wird (Art. 6 Abs. 1 lit. b DSGVO).
• Empfänger: Die App sendet das Foto an unseren Server, der es an die Gemini-API von Google weitergibt. Google ist unser Auftragsverarbeiter (Auftragsverarbeitungsvertrag für die kostenpflichtige Gemini-API). Nach diesen Bedingungen trainiert Google nicht mit den Eingaben und Ergebnissen und protokolliert sie nur kurz, um Missbrauch zu erkennen.
• Dauer: Das Foto wird nur für das Auslesen verarbeitet. In der Liste bleibt das Ergebnis (Zutaten, Preise, Gänge).
• Freigabe: Vor dem ersten Scan und der ersten Spracheingabe fragt die App, ob sie Fotos und Text an Google senden darf. Die Entscheidung lässt sich in den Einstellungen unter „Fotos und Sprache per Google-KI lesen“ ändern.

Spracheingabe

• Daten: der erkannte oder getippte Listentext, auch bei Einträgen über Siri. Die Spracherkennung übernimmt iOS, auf dem Gerät oder über Apples Spracherkennungsdienst.
• Zweck: Tomli teilt den Text in einzelne Einträge auf (Art. 6 Abs. 1 lit. b DSGVO).
• Empfänger: unser Server und Google Gemini (wie unter „Fotos scannen“); bei der Spracherkennung auch Apple. Ohne Netz teilt die App den Text auf dem Gerät auf.
• Dauer: nur für das Aufteilen.
• Freigabe: wie unter „Fotos scannen“; das gilt auch für Siri. Ohne Freigabe teilt die App den Text auf dem Gerät auf.

Barcodes

• Daten: die Barcode-Nummer.
• Zweck: Der Server schlägt den Produktnamen nach.
• Empfänger: Open Food Facts.
• Dauer: Der Server merkt sich gefundene Produkte 30 Tage, nicht gefundene 1 Tag.

Server-Protokolle

Der Server protokolliert Betriebsmeldungen (Fehler, Zähler). Sie sind bei Fly.io 7 Tage einsehbar.

5. Drittländer

Einige der genannten Empfänger sitzen in den USA. Fly.io und Cloudflare nennen eine Zertifizierung nach dem EU-US Data Privacy Framework. Für Apple gelten Standardvertragsklauseln, für Google die Übermittlungsregeln des Auftragsverarbeitungsvertrags.

6. Löschen

Das Konto kann in der App unter Einstellungen → „Konto löschen“ gelöscht werden. Dabei entfernen wir die Anmeldung, Geräte, Sitzungen und Mitgliedschaften und widerrufen „Mit Apple anmelden“. Der Anzeigename erscheint danach überall als „Ehemaliges Mitglied“. Wenn das letzte Mitglied sein Konto löscht, entfernen wir auch den Haushalt mit Liste und Beiträgen zu Gangfolgen und Preisen. Andernfalls bleibt der Haushalt für die übrigen Mitglieder bestehen. Die Kennung, unter der Einträge hinzugefügt oder abgehakt wurden, bleibt in bestehenden Haushalten erhalten, damit die Zuordnung für die anderen Mitglieder bestehen bleibt.

7. Rechte betroffener Personen

Betroffene Personen haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Zudem besteht das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zuständig. Anfragen können an [email protected] gerichtet werden.

8. Kinder

„Mit Apple anmelden“ ist ab 16 Jahren möglich. Jüngere nehmen über die Einladung eines Elternteils als Gerät ohne Konto teil. Ihr Gerät sendet keinen Standort.