Datenschutzerklärung

Der Verantwortliche für die Datenverarbeitung ist The Nexus Collective GmbH, Poststraße 14-16, 20354 Hamburg, Deutschland. Sie können uns unter [email protected] erreichen. Für datenschutzspezifische Anfragen kontaktieren Sie bitte [email protected].

Kontodaten: Bei der Registrierung erfassen wir Ihre E-Mail-Adresse und ein gehashtes Passwort. Bei Anmeldung über Google oder Apple erhalten wir Ihren Namen und Ihre E-Mail vom Identitätsanbieter. Wir speichern niemals Fremdpasswörter.

Restaurantdaten: Restaurantname, Stadt, Land, Küchenstil, Spracheinstellung und Rechnungs-E-Mail. Diese Daten werden während des Onboardings von Ihnen bereitgestellt.

Zutaten- und Rezeptdaten: Zutatennamen, Allergenklassifizierungen, Verifizierungsstatus, Zuverlässigkeitsstufen, Scan-Metadaten, Rezeptzusammensetzungen und Allergenausbreitungsergebnisse. Dies sind die Compliance-Kernfunktionsdaten, die Sie erstellen und verwalten.

Scandaten: Wenn Sie ein Etikett, Menübild oder eine Rechnung hochladen, wird das Bild an unseren KI-Anbieter zur Textextraktion gesendet. Wir speichern hochgeladene Bilder nicht dauerhaft auf unseren Servern. Extrahierter Text und Allergenergebnisse werden als Teil Ihrer Zutatendatensätze gespeichert.

Abrechnungsdaten: Wir nutzen Stripe zur Zahlungsverarbeitung. Wir speichern Ihre Stripe-Kunden-ID und den Abonnementstatus. Wir speichern keine Kreditkartennummern, Bankdaten oder andere Zahlungsanmeldedaten – Stripe kümmert sich darum direkt.

Nutzungsdaten: Wir protokollieren anonymisierte Betriebszahlen (z. B. Anzahl der Scans pro Monat) zur internen Kostenüberwachung. Diese Daten werden nicht mit Dritten geteilt und nicht mit einzelnen Benutzern verknüpft.

Technische Daten: Standard-Serverprotokolle einschließlich IP-Adressen, Browser-User-Agent und Request-Zeitstempel. Diese werden 30 Tage lang für Sicherheit und Debuggen aufbewahrt.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Kontoerstellung, Restaurantdatenverwaltung, Zutaten- und Rezeptverarbeitung, Allergen-Matrix-Generierung, Abrechnung und Abonnementverwaltung sind erforderlich, um den Dienst bereitzustellen, für den Sie sich angemeldet haben.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Serverprotokolle, Missbrauchsprävention, interne Nutzungsüberwachung und Serviceverbesserung. Sie können der Verarbeitung aus berechtigtem Interesse jederzeit durch Kontaktaufnahme mit uns widersprechen.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Optionale Funktionen wie Analytics-Cookies (falls vorhanden) werden nur mit Ihrer ausdrücklichen Zustimmung aktiviert. Sie können Ihre Einwilligung jederzeit widerrufen.

Supabase (PostgreSQL-Datenbank-Hosting): Supabase Inc., EU-Region (AWS eu-west-1, Irland). Speichert alle Konto-, Restaurant-, Zutaten-, Rezept- und Abrechnungsdaten.

Vercel (Anwendungs-Hosting): Vercel Inc., Edge-Funktionen weltweit bereitgestellt mit EU-primärem Routing. Hostet die Labely-Webanwendung.

OpenRouter / Anthropic (KI-Textextraktion): OpenRouter Inc. und Anthropic PBC. Verarbeitet hochgeladene Bilder für Zutatentextextraktion und Allergenklassifizierung. Bilder werden via API gesendet und werden vom KI-Anbieter nach dem Request-Lebenszyklus nicht aufbewahrt.

Stripe (Zahlungsverarbeitung): Stripe Inc. Verarbeitet Abonnementzahlungen und speichert Zahlungsanmeldedaten. Stripe ist ein PCI DSS Level 1 zertifizierter Zahlungsverarbeiter. Siehe stripe.com/privacy.

Resend (Transaktions-E-Mail): Resend Inc. Sendet Passwort-Reset-E-Mails und Kontobenachrichtigungen. Erhält Ihre E-Mail-Adresse nur zu Lieferzwecken.

Open Food Facts (Produktdatenbank): Open Food Facts non-profit. Wird für Barcode-zu-Produkt-Matching verwendet. Anfragen sind anonym und enthalten nur Barcodenummern oder Produktsuchbegriffe – keine persönlichen Daten werden gesendet.

FatSecret (Barcode-Lookup): FatSecret Pty Ltd. Wird als alternativer Barcode-Lookup-Dienst verwendet. Anfragen enthalten nur Barcodenummern – keine persönlichen Daten werden gesendet.

Plausible Analytics (Website-Analytik): Plausible Insights OÜ, EU-gehostet (Estland). Cookielose, datenschutzfreundliche Analytik. Keine persönlichen Daten werden erfasst. Siehe plausible.io/data-policy.

Labely betreibt einen internen Outreach-Automatisierungs-Workflow für Business-to-Business-Restaurantakquisition. Dieser Workflow ist keine Verbraucherprofilerstellung und verarbeitet keine persönlichen Verbraucherdaten.

Der Workflow verarbeitet nur öffentlich verfügbare geschäftliche Kontexte wie Restaurantname, geschäftliche Website, geschäftliche Kontaktkanäle, Küchen-Metadaten und öffentliche Compliance-relevante Signale. Wir kaufen keine Drittanbieter-Lead-Listen.

Outreach-Rechtsgrundlage ist berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) mit Relevanzkontrollen. Wir dokumentieren pro Lead die Relevanz-Begründung und den Marktkontext vor der Outreach-Anmeldung.

Datensparsamkeit wird erzwungen: Roh-Quelllasten werden nur für kurze Validierungsfenster aufbewahrt, während nur strukturierte Felder, die für Outreach-Operationen erforderlich sind, langfristig aufbewahrt werden.

Jede Outreach-Nachricht enthält einen Abmeldungsmechanismus. Abmeldungsanfragen und 'entfernen Sie mich'-ähnliche Antworten lösen sofortige Unterdrückung und keinen weiteren Outreach aus.

Ihre Datenbank wird in der EU gehostet (AWS eu-west-1, Irland). Einige Auftragsverarbeiter (Vercel, OpenRouter, Anthropic, Stripe, Resend, FatSecret) sind US-amerikanische Unternehmen. Wo Daten in die USA übertragen werden, sind diese Übertragungen durch EU-US-Datenschutzrahmen-Adäquanzentscheidungen, Standardvertragsklauseln (SCCs) oder gleichwertige Schutzmaßnahmen gemäß DSGVO Kapitel V abgedeckt.

KI-Bildverarbeitung: Wenn Sie ein Etikett, Menü oder Rechnungsbild hochladen, wird es an OpenRouter/Anthropic-Server zur Textextraktion übertragen. Der Bildinhalt wird im Speicher verarbeitet und wird vom KI-Anbieter nach der Rückgabe der Antwort nicht gespeichert.

Konto- und Restaurantdaten: Aufbewahrt für die Dauer Ihres aktiven Abonnements plus 30 Tage nach Kontolöschung, um eine Reaktivierung zu ermöglichen.

Zutaten-, Rezept- und Allergendaten: Aufbewahrt für die Dauer Ihres Abonnements. Bei Kontolöschung werden alle Restaurantdaten innerhalb von 30 Tagen dauerhaft gelöscht.

Allergen-Audit-Protokolle: Aufbewahrt für 3 Jahre nach Erstellung zur Unterstützung der Compliance- und Inspektionshistorie. Dies entspricht typischen EU-Lebensmittelsicherheits-Aufzeichnungspflichten.

Abrechnungsunterlagen: Aufbewahrt für 7 Jahre gemäß deutschem Steuerrecht (Aufbewahrungspflicht, §147 AO).

Serverprotokolle: Aufbewahrt für 30 Tage, dann automatisch gelöscht.

Nutzungsüberwachungsdaten: Aufbewahrt für 12 Monate in anonymisierter Form.

Sie haben das Recht zu: Zugriff auf Ihre persönlichen Daten (Art. 15), Berichtigung ungenauer Daten (Art. 16), Löschung Ihrer Daten (Art. 17, 'Recht auf Vergessenwerden'), Einschränkung der Verarbeitung (Art. 18), Datenportabilität (Art. 20) und Widerspruch gegen Verarbeitung aus berechtigtem Interesse (Art. 21).

Um diese Rechte auszuüben, senden Sie eine E-Mail an [email protected]. Wir werden innerhalb von 30 Tagen gemäß DSGVO antworten.

Sie haben auch das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für Deutschland ist dies der zuständige Landesdatenschutzbeauftragte Ihres Bundeslandes. Für die Niederlande ist dies die Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Labely verwendet nur streng notwendige Cookies für die Authentifizierung (NextAuth-Session-Cookie). Diese sind für das Funktionieren des Dienstes erforderlich und erfordern keine Zustimmung gemäß DSGVO.

Website-Analytik sind standardmäßig deaktiviert und werden nur aktiviert, wenn Sie sich durch das Cookie-Banner anmelden. Plausible Analytics selbst funktioniert ohne Cookies und verfolgt keine einzelnen Benutzer.

Wir verwenden keine Werbe-Cookies, Tracking-Pixel oder Drittanbieter-Marketing-Cookies.

Passwörter werden mit bcrypt mit 12 Salt-Runden gehashed. Wir erzwingen Ratenlimitierung auf Authentifizierungsendpunkten. Alle Daten in Transit sind via TLS verschlüsselt. Datenbankverbindungen verwenden SSL. Wir speichern keine Roh-Zahlungsanmeldedaten.

Falls Sie eine Sicherheitslücke entdecken, melden Sie diese bitte an [email protected]. Wir nehmen alle Meldungen ernst und antworten umgehend.

Wir können diese Datenschutzerklärung aktualisieren, um Änderungen in unseren Praktiken oder rechtlichen Anforderungen widerzuspiegeln. Wesentliche Änderungen werden über E-Mail an registrierte Benutzer kommuniziert. Das Geltungsdatum am Anfang dieser Seite wird entsprechend aktualisiert.