Datenschutzerklärung

1Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG nicht verpflichtend zu benennen und wurde nicht bestellt. Bei allen Fragen zum Datenschutz kannst du dich direkt an die oben genannte Adresse wenden.

2Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Webseite und unserer Apps erforderlich ist. Dabei folgen wir den Grundsätzen des Art. 5 DSGVO, insbesondere der Datenminimierung und der Zweckbindung.

• Webseite brommer.app: nur technisch notwendige Server-Logs, keine Cookies, kein Tracking, keine externen Inhalte.
• Kochgruppe: Konto- und Gruppendaten (z. B. Termine, Rezepte, Ausgaben, Kassenbons) werden auf unserem Server in Deutschland gespeichert, damit deine Gruppe gemeinsam darauf zugreifen kann.
• Hestia Server: Die App verbindet sich direkt mit deinem eigenen Server. Wir erhalten keine Daten.

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO), etwa Namen, Benutzernamen, IP-Adressen oder Fotos.

3Rechtsgrundlagen

Wir stützen die Verarbeitung auf folgende Rechtsgrundlagen der DSGVO. Welche im Einzelfall gilt, ist bei den jeweiligen Abschnitten angegeben.

4Hosting & Server-Logs

Diese Webseite sowie der Server der App Kochgruppe werden bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, in einem Rechenzentrum in Deutschland betrieben. Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei jedem Aufruf der Webseite oder jeder Anfrage an unseren Server werden automatisch folgende Daten in Protokolldateien (Server-Logs) gespeichert:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Schnittstelle, HTTP-Methode und Statuscode
• übertragene Datenmenge
• Referrer-URL (zuvor besuchte Seite), sofern übermittelt
• Browser- bzw. App-Kennung (User-Agent) und Betriebssystem

Zweck: Auslieferung der Inhalte, Gewährleistung von Stabilität und Sicherheit, Erkennung und Abwehr von Angriffen (z. B. automatisierte Sperre bei wiederholten Fehlanmeldungen). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Die Logs werden wöchentlich rotiert und spätestens nach fünf Wochen automatisch gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

Eine Zusammenführung dieser Daten mit anderen Datenquellen oder eine Auswertung zu Marketingzwecken findet nicht statt.

SSL-/TLS-Verschlüsselung

Alle Verbindungen zu brommer.app und zu unseren App-Servern sind per HTTPS (TLS) verschlüsselt. Du erkennst dies am Schloss-Symbol und an „https://“ in der Adresszeile.

5Cookies & lokale Speicherung

brommer.app setzt keine Cookies, speichert nichts auf deinem Gerät und lädt keine Inhalte von Servern Dritter (keine externen Schriftarten, Skripte oder Karten). Ein Cookie-Banner ist daher nicht erforderlich.

Die Web-Version von Kochgruppe nutzt den lokalen Speicher deines Browsers (Local Storage), um dich angemeldet zu halten und Anzeige-Einstellungen (z. B. Rezept-Filter) zu merken. Außerdem legt sie über einen Service Worker einen Offline-Zwischenspeicher der App-Dateien an. Diese Speicherung ist für den von dir ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst sie jederzeit über die Abmeldung oder die Einstellungen deines Browsers löschen.

6Kontakt & Support

Wenn du uns per E-Mail kontaktierst (auch über das Formular auf der Support-Seite, das lediglich dein E-Mail-Programm öffnet), verarbeiten wir deine E-Mail-Adresse, deinen Namen (falls angegeben), den Inhalt deiner Nachricht sowie ggf. mitgesendete Anhänge und technische Angaben (z. B. App-Version, Gerät).

Zweck: Bearbeitung und Beantwortung deiner Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage mit der Nutzung unserer Apps zusammenhängt, ansonsten Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen). Speicherdauer: Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens jedoch nach zwölf Monaten.

7App „Kochgruppe“ (iOS & Web)

Kochgruppe ermöglicht es Gruppen, gemeinsame Kochtermine zu planen, Rezepte zu sammeln sowie Ausgaben zu erfassen und aufzuteilen. Damit alle Mitglieder einer Gruppe auf dieselben Inhalte zugreifen können, werden die Daten auf unserem Server in Deutschland gespeichert (siehe Abschnitt 4).

7.1 Welche Daten wir verarbeiten

Wir erheben keine E-Mail-Adressen, Telefonnummern, Klarnamen, Standortdaten, Kontakte oder Zahlungsdaten. Kochgruppe wickelt selbst keine Zahlungen ab; Beträge dienen nur der Übersicht.

7.2 Rechtsgrundlagen

• Bereitstellung des Kontos und der App-Funktionen: Art. 6 Abs. 1 lit. b DSGVO.
• Konten, die ein Gruppenleiter für weitere Mitglieder anlegt, sowie Angaben über andere Personen in Terminen und Ausgaben: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Gruppe an einer gemeinsamen Organisation).
• Server-Logs und Missbrauchsabwehr: Art. 6 Abs. 1 lit. f DSGVO.
• Zugriff auf Kamera und Fotos: deine Einwilligung über die iOS-Berechtigungsabfrage, Art. 6 Abs. 1 lit. a DSGVO.

7.3 Wer deine Daten sieht

Inhalte eines Teams sind nur für angemeldete Mitglieder desselben Teams sichtbar. Was jemand ändern darf, hängt von der Rolle ab (Gruppenleiter, Gruppenmitglied, Viewer). Als Betreiber haben wir technisch bedingt Zugriff auf die gespeicherten Daten, nutzen diesen aber ausschließlich zur Wartung, Fehlerbehebung und auf deine Anfrage hin. Eine Weitergabe an Dritte erfolgt nicht.

7.4 Verantwortung von Gruppenleitern und Nutzern

Wer Konten für andere anlegt oder Inhalte hochlädt, die andere Personen betreffen (z. B. Fotos, auf denen Personen erkennbar sind), ist dafür verantwortlich, hierzu berechtigt zu sein und die Betroffenen zu informieren. Bitte schwärze auf Kassenbons vor dem Hochladen nicht benötigte Angaben wie Kartennummern oder Kundennummern. Fotos können Metadaten (z. B. Aufnahmezeit oder -ort) enthalten; wir werten diese nicht aus.

7.5 Daten auf deinem Gerät

Die iOS-App speichert dein Anmelde-Token und dein Benutzerprofil (Benutzername, Rolle, Team) im geschützten lokalen App-Speicher, damit du angemeldet bleibst. Das Token ist höchstens 30 Tage gültig. Beim Abmelden werden diese Angaben vom Gerät gelöscht. Zur Web-Version siehe Abschnitt 5.

7.6 Google Fonts (nur Web-Version)

Die Web-Version von Kochgruppe bindet Schriftarten von Google Fonts ein (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Beim Aufruf überträgt dein Browser dabei deine IP-Adresse und technische Angaben an Server von Google, die auch in den USA stehen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (einheitliche, gut lesbare Darstellung). Google ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Weitere Informationen: Datenschutzerklärung von Google. Die iOS-App nutzt Google Fonts nicht.

7.7 Konto löschen

Ein Gruppenleiter kann Mitgliederkonten jederzeit in der App entfernen. Du kannst die Löschung deines Kontos außerdem jederzeit per E-Mail an datenschutz@brommer.app verlangen (bitte Benutzername und Teamname angeben). Wir löschen dein Konto dann innerhalb von 30 Tagen. Von dir erstellte Inhalte, die für die Abrechnung der Gruppe erforderlich sind (z. B. Ausgaben), können anonymisiert erhalten bleiben.

8App „Hestia Server“ (iOS)

Hestia Server ist ein Client für die REST-API von HestiaCP. Die App verbindet sich von deinem iPhone aus direkt mit dem Server, den du einträgst. Wir betreiben dafür keinen eigenen Server, es gibt kein Benutzerkonto bei uns und keine Synchronisierung über unsere Infrastruktur. Wir erheben, speichern und erhalten über diese App keine personenbezogenen Daten. In App Store Connect ist die App entsprechend mit „Keine Daten erfasst“ angegeben.

8.1 Daten auf deinem iPhone

Auslastungswerte, Logs und alle weiteren Serverdaten werden nur angezeigt, solange die App geöffnet ist, und nicht dauerhaft gespeichert. Der Access Key wird nicht in iCloud-Backups oder den iCloud-Schlüsselbund übertragen.

8.2 Verbindung zu deinem Server

Dein Server sieht bei jeder Anfrage – wie bei jedem Aufruf im Internet – die IP-Adresse deines iPhones und den Zeitpunkt und kann dies in seinen eigenen Logs speichern. Diese Logs liegen unter deiner Kontrolle. Zertifikate werden standardmäßig geprüft; ein selbst signiertes Zertifikat wird nur akzeptiert, wenn du es für diesen Server ausdrücklich erlaubst.

8.3 Daten Dritter auf deinem Server

Über die App kannst du Daten einsehen und ändern, die sich auf andere Personen beziehen können (z. B. Benutzerkonten, Postfächer, DNS-Einträge, Zugriffs-Logs). Hierfür bist du als Betreiber deines Servers verantwortlich. Die App ist lediglich dein Werkzeug, vergleichbar mit einem Browser oder SSH-Client; wir haben keinen Zugriff auf diese Daten und verarbeiten sie nicht in deinem Auftrag.

8.4 Demo-Modus & Löschen

Im Demo-Modus nutzt die App nur eingebaute Beispieldaten und baut keine Verbindung auf. Abmelden entfernt Access Key und Serverdaten vom Gerät; das Löschen der App entfernt alle Einstellungen. Einträge im iOS-Schlüsselbund können technisch bedingt erhalten bleiben – melde dich daher vor dem Löschen ab. Einen Access Key kannst du jederzeit in HestiaCP widerrufen.

Hestia Server ist eine unabhängige App und steht in keiner Verbindung zum HestiaCP-Projekt.

9Geräte-Berechtigungen

Unsere Apps fragen Berechtigungen nur an, wenn du eine Funktion nutzt, die sie benötigt. Ohne Berechtigung funktioniert die App weiterhin, nur die jeweilige Funktion nicht.

Wir nutzen keine Standortdaten, Kontakte, Kalender, Mikrofon, Bluetooth, Gesundheitsdaten oder Werbe-ID (IDFA). Erteilte Berechtigungen kannst du jederzeit in den iOS-Einstellungen unter Datenschutz & Sicherheit widerrufen.

10Apple & App Store

Download, Updates, Bewertungen und ggf. Testversionen (TestFlight) werden von der Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, abgewickelt. Hierfür gilt die Datenschutzrichtlinie von Apple; auf diese Verarbeitung haben wir keinen Einfluss.

Hast du in iOS unter Einstellungen › Datenschutz & Sicherheit › Analyse & Verbesserungen das Teilen mit App-Entwicklern aktiviert, stellt Apple uns anonymisierte Absturzberichte und Nutzungsstatistiken bereit. Diese lassen keinen Rückschluss auf deine Person zu und dienen nur der Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dies dort jederzeit deaktivieren.

11Kein Tracking, keine Werbung

Weder diese Webseite noch unsere Apps enthalten Analyse- oder Tracking-Dienste (z. B. Google Analytics, Firebase, Meta SDK), Werbung, Werbe-Netzwerke oder Social-Media-Plugins. Wir erstellen keine Nutzerprofile und verkaufen keine Daten. Unsere Apps fragen daher auch nicht nach der Erlaubnis für App-Tracking (App Tracking Transparency).

12Empfänger & Übermittlung in Drittländer

Wir geben personenbezogene Daten nur weiter, wenn dies zur Erfüllung der genannten Zwecke erforderlich ist, eine gesetzliche Pflicht besteht oder du eingewilligt hast. Empfänger können sein:

• IONOS SE (Hosting, Deutschland) als Auftragsverarbeiter nach Art. 28 DSGVO,
• Apple (App-Vertrieb, siehe Abschnitt 10) als eigenständig Verantwortlicher,
• Google (Schriftarten der Kochgruppe-Web-Version, siehe Abschnitt 7.6),
• Behörden, soweit wir gesetzlich dazu verpflichtet sind.

Unsere eigenen Server stehen in Deutschland. Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nur im Rahmen der oben genannten Dienste von Apple und Google statt; sie erfolgt auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

13Speicherdauer & Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Danach werden sie gelöscht oder anonymisiert.

Konten, die über einen Zeitraum von 24 Monaten nicht genutzt wurden, können wir nach vorheriger Ankündigung an den Gruppenleiter löschen.

14Minderjährige

Unsere Apps richten sich nicht gezielt an Kinder. Kochgruppe kann jedoch auch von Jugendgruppen genutzt werden. Personen unter 16 Jahren dürfen die App nur mit Zustimmung ihrer Erziehungsberechtigten nutzen. Gruppenleiter, die Konten für Minderjährige anlegen, stellen sicher, dass diese Zustimmung vorliegt. Wir erheben bewusst keine Angaben wie Alter, Klarnamen oder Kontaktdaten. Stellen Erziehungsberechtigte fest, dass Daten ihres Kindes ohne Zustimmung verarbeitet werden, löschen wir diese auf Anfrage umgehend.

15Datensicherheit

Wir treffen nach Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen, um deine Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen, insbesondere:

• durchgehende Transportverschlüsselung per HTTPS/TLS,
• Speicherung von Passwörtern ausschließlich als gesalzener bcrypt-Hash,
• zeitlich begrenzte Anmelde-Token und rollenbasierte Zugriffsrechte,
• Speicherung von Zugangsdaten im iOS-Schlüsselbund (Hestia Server),
• Firewall, automatische Sperre bei wiederholten Fehlanmeldungen und regelmäßige Sicherheitsupdates,
• regelmäßige Datensicherungen und Zugriff nur durch den Betreiber.

Kein System ist vollständig sicher. Wir überprüfen und verbessern unsere Maßnahmen fortlaufend entsprechend dem Stand der Technik. Sollte es dennoch zu einer Verletzung des Schutzes personenbezogener Daten kommen, informieren wir die zuständige Aufsichtsbehörde und – soweit erforderlich – die Betroffenen gemäß Art. 33 und 34 DSGVO.

16Deine Rechte

Dir stehen gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten zu:

• Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
• Löschung deiner Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe unten),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an datenschutz@brommer.app. Wir beantworten Anfragen unverzüglich, spätestens innerhalb eines Monats. Um Missbrauch zu verhindern, können wir dich bitten, dich als Inhaber des betroffenen Kontos zu bestätigen.

17Widerspruchsrecht

18Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

19Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Bereitstellung deiner Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Benutzername und Passwort kann jedoch kein Kochgruppe-Konto angelegt werden; ohne Server-Adresse und Access Key kann Hestia Server keine Verbindung herstellen.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

20Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Apps, unsere Dienste oder die Rechtslage ändern. Wesentliche Änderungen kündigen wir, soweit möglich, in den Apps an. Die jeweils aktuelle Fassung findest du unter brommer.app/datenschutz.html.

21English summary

Website: brommer.app sets no cookies, uses no tracking and loads no third-party content. The web server (IONOS, Germany) keeps technical access logs (IP address, time, requested page, user agent) for security for up to five weeks.

Kochgruppe: To let groups share events, recipes and expenses, we store account data (username, bcrypt-hashed password, role, team) and the content you create (events, expenses incl. receipt photos, payment requests, recipes) on our server in Germany. Content is visible only to members of the same team. We do not collect e-mail addresses, real names, location or payment data. Camera and photo access are used only when you add a receipt or recipe photo. The web version uses local storage to keep you signed in and loads fonts from Google Fonts. You can request deletion of your account at any time; it will be deleted within 30 days.

Hestia Server: An independent HestiaCP client, not affiliated with the HestiaCP project. It connects directly to your own server; we operate no backend and collect no data. Your access key is stored only in the iOS Keychain.

No analytics, no advertising, no profiling. You have the rights under Art. 15–21 GDPR and may lodge a complaint with a supervisory authority. Contact: datenschutz@brommer.app.

Stand / Last updated: 29 September 2026